[RESOLU] Plus d'antivirus et d'antispywares: infection Bagle

Dersou1 · le 6 janvier 2008

Bien, le scan s'est enfin terminé.

Il a trouvé pas mal de virus dans des fichiers *.zip que j'ai mis en quarantaine en attendant de les virer.

En tournant un peu sur Zebulon et d'autres sites dédiés à la sécuritê, j'ai trouvé des programmes recomandés pour mieux protéger mon PC.

Spyware Terminator => Installé

Anti Spyware Guard

Spyware Blaster

Win Patrol

Ashampoo Firewall => Installé

AVG Anti Rootkit => Installé rien trouvé

N'est ce pas too much ?

Il semble que Spyware Terminator et Anti Spyware Guard veuillent s'éliminer l'un l'autre sur mon laptop.

Anti Spyware Guard me signale Lavasoft et Spybot comme des attackware !!!

Sacles · le 6 janvier 2008

Bonjour,

Je réponds juste au précédent message:

Règle générale en matière de protection d'un PC: un seul logiciel résident par catégorie (un seul pare-feu, un seul antivirus, un seul antispyware, un seul HIPS,...).

La sécurité, c'est aussi la manière de surfer, d'installer des logiciels, d'utiliser un navigateur sécurisé, ...

La sécurité ne doit jamais être dans les seules mains des logiciels. C'est l'utilisateur qui est responsable de la sécurité de sa machine (contre-exemple: voir le présent sujet).

--------

Je crois que tu n'as pas terminé la désinfection de ta machine. Il faudrait continuer.

Salut.

Modifié le 6 janvier 2008 par Sacles

oGu · le 6 janvier 2008

Salut!

Comme le dit Sacles:

- il faut terminer l'inspection de ton PC

- il ne sert à rien de superposer les logiciels de protection: ce qui compte, c'est d'avoir un comportement sécurisant sur Internet, secondé par des outils choisis et maîtrisés. La preuve: tes logiciels anti-trucs ont plié devant Beagle, et Beagle s'est installé du fait de ton erreur ou de ta négligence. CQFD !

----------------------------------------------------------------------------------------------------------------------------

Pour la Yahoo Toolbar, je la trouve réellement pratique et ne souhaite pas m'en passer si ce n'est pas absolument nécéssaire. J'ajoute que je l'utilise depuis plusieurs années...

Comme tu le souhaites; elle n'est de toute façon pas infectieuse; elle se "contente" de faire du profiling à des fins commerciales et publicitaires.

J'ajoute que je l'utilise depuis plusieurs années...

Alors Yahoo! connaît tes habitudes de surf depuis des annéess

----------------------------------------------------------------------------------------------------------------------------

Avant de poursuivre:

Assure-toi, si ce n'est déjà fait, que tu as bien supprimé le Crack à l'origine de ton infection, et que tu as vidé la corbeille.
dobe
Assure-toi, si ce n'est déjà fait, que tu as bien désinstallé le logiciel cracké: Adobe Creative suite 3 Master puis nettoie le registre avec l'onglet "erreurs" de CCleaner.

----------------------------------------------------------------------------------------------------------------------------

Résultat du scan par fsbl.exe

01/04/08 23:32:29 [Note]: 7026 0

01/04/08 23:32:29 [Note]: 7024 3

01/04/08 23:32:29 [info]: Hidden process: C:\WINDOWS\system32\drivers\hidr.exe

01/04/08 23:33:43 [info]: Hidden file: c:\WINDOWS\system32\wintems.exe

01/04/08 23:33:46 [info]: Hidden file: c:\WINDOWS\system32\drivers\srosa.sys

01/04/08 23:33:46 [info]: Hidden file: C:\WINDOWS\system32\drivers\hidr.exe

Ces drivers et exécutables sont les stigmates de Beagle: en toute logique EliBagla les a supprimé d'après son rapport, et a restauré le démarrage sans échec désactivé par le rootkit.

Pour t'assurer que tout est résolu, relance BlackLight et poste le rapport.

Nota: je ne connais pas les produits Adobe, mais je suis très surpris par le nombre de fichiers cachés d'Adobe Photoshop Lightroom 1.3...Ce logiciel aurait-il été installé par la suite crackée?? Essaie de m'en dire plus si tu le peux.

----------------------------------------------------------------------------------------------------------------------------

Analyse du rapport HijackThis:

il est propre, mais j'ai une petite interrogation:à quoi correspond ces adresses serveurs??

O17 - HKLM\System\CCS\Services\Tcpip\..\{FEEF3D11-B89E-4957-A97D-3B23809FF073}: NameServer = 200.118.2.66,200.118.2.85,63.245.1.3

Il reste des traces de GoogleToolbar: relance HijackThis, sélectionne "Do a scan only" et coche si elles existent encore les lignes suivantes:

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.1.615.5858\swg.dll (file missing)

O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - Global Startup: Outil de mise à jour Google.lnk = C:\Program Files\Google\Google Updater\GoogleUpdater.exe

Puis clique sur "Fix Checked" en bas et redémarre.

Il faut ensuite supprimer le service Google:

-Dans Démarrer > Exécuter et taper Services.msc puis OK

Choisir le mode "Etendu" (onglets inférieurs)

Grâce à la barre de défilement (à droite) rechercher le service suivant:

Google Updater Service (gusvc)

Quand le service est trouvé, pointer dessus, double-cliquer (bouton gauche).

Dans la fenêtre suivante qui apparait, sous l'onglet Général cliquer sur le bouton Arrêter,

puis dérouler le Type de Démarrage pour le modifier en Désactivé

Cliquer sur Appliquer puis OK

- Lancer Hijackthis, choisir Open the Misc.Tools section

- La fenêtre "Configuration" va s'ouvrir

- Cliquer sur Delete a NT service...

- La fenêtre "Delete a Windows NT service" va s'ouvrir

Entrer dans la zone de dialogue :

Google Updater Service

Note : s'assurer de ne mettre d'espace, ni avant, ni après !

cliquer OK

Une autre fenêtre devrait s'ouvrir, donnant des informations sur le service et demandant si vous voulez redémarrer.

Cliquer YES

Nota: il se peut que HijackThis t'indique "not found in the registry" à la fin de l'opération. Dans ce cas signale-le moi et poste un nouveau log HijackThis que l'on s'assure que ce service ait disparu.

----------------------------------------------------------------------------------------------------------------------------

Pour terminer le nettoyage de ton PC:

nettoie ton PC avec CCleaner
Scanne à nouveau avec Antivir mais cette fois poste le rapport
scanne ton PC en ligne avec Kaspersky AntiVirus: attention cela ne fonctionne que sous Internet Explorer:

Tuto de Malekal:

http://www.malekal.com/scan_Av_en_ligne.php#mozTocId291566

N'oublie pas de poster le rapport.
Scanne ton PC avec l'antispyware gratuit, portable et discret: Ewido AntiSpy Micro-Scanner

http://download.ewido.net/ewido_micro.exe

Double-clique sur le logiciel, laisse-le faire sa mise à jour, puis scanne sans toucher aux réglages par défaut.

Si Ewido te trouve des spy, sauvegarde le rapport avec la touche "Save report" en bas, poste-le ici, puis supprime tout avec la touche "Remove infections".
Télécharge Combofix sUBs :
http://download.bleepingcomputer.com/sUBs/ComboFix.exe

Double-clique sur Combofix, il va te poser une question, répond par la touche 1 et "entrée "pour valider.
Attend que Combofix ait terminé.
un rapport sera créé, Poste le.

Quand tout sera propre, on pourra éventuellement sécuriser ton PC avec quelques outils simples.

A suivre...

Modifié le 6 janvier 2008 par ogu

Dersou1 · le 7 janvier 2008

Salut!

- il ne sert à rien de superposer les logiciels de protection: ce qui compte, c'est d'avoir un comportement sécurisant sur Internet, secondé par des outils choisis et maîtrisés. La preuve: tes logiciels anti-trucs ont plié devant Beagle, et Beagle s'est installé du fait de ton erreur ou de ta négligence. CQFD !

Oui, j'ai bien vu, ni Avast, ni SpyBot avec son résident, ni le firewall de XP (sp2) ne m'ont protégés... :chpas:

J'ai, depuis cela, lu beaucoup d'articles mais il est vrai que le choix des outils de protection ne me parait pas évident.

Et oui, j'ai bien compris que le problème est entre le clavier et la chaise... Mais il est des comportements (cracks) pas faciles à réformer...

Mais je profite de cet épisode pour m'y mettre

- - - - - - -

Avant de poursuivre:
[*] Assure-toi, si ce n'est déjà fait, que tu as bien supprimé le Crack à l'origine de ton infection, et que tu as vidé la corbeille.

dobe

[*] Assure-toi, si ce n'est déjà fait, que tu as bien désinstallé le logiciel cracké: Adobe Creative suite 3 Master puis nettoie le registre avec l'onglet "erreurs" de CCleaner.

Je me demande tout de même, si s'est bien ce keymaker qui est à l'origine de mon problème :-?

Les test faits sur Virus Total sont ils probants pour toi ?

Je trouve surprenant qu'aucun des Anti virus majeurs du marché ne le détecte... :

Scan du Keygen sur Virus Total :

Fichier Key_Generator.EXE reçu le 2007.12.24 15:53:27 (CET)

Antivirus Version Dernière mise à jour Résultat

AhnLab-V3 - - -

AntiVir - - -

Authentium - - -

Avast - - -

AVG - - -

BitDefender - - -

CAT-QuickHeal - - (Suspicious) - DNAScan

ClamAV - - -

DrWeb - - -

eSafe - - suspicious Trojan/Worm

eTrust-Vet - - -

Ewido - - -

FileAdvisor - - -

Fortinet - - -

F-Prot - - -

F-Secure - - -

Ikarus - - -

Kaspersky - - -

McAfee - - -

Microsoft - - -

NOD32v2 - - -

Norman - - Suspicious_F.gen

Panda - - -

Prevx1 - - Generic.Malware

Rising - - -

Sophos - - Mal/Packer

Sunbelt - - VIPRE.Suspicious

Symantec - - -

TheHacker - - -

VBA32 - - -

VirusBuster - - Packed/FSG

Webwasher-Gateway - - Win32.Malware.gen#FSG (suspicious)

Information additionnelle

MD5: c7e60a5ded20ec9b7faaa1a932c51d45

- - - - - - -

Il se pourrait alors que se ne soit pas là la source de l'infection ?

Et que celle ci vienne d'un autre crack installé plusieurs jours avant (Lightroom) ?

Ou est ce que les manifestations infectieuses sont immédiates ?

- - - - - - - -

Pour t'assurer que tout est résolu, relance BlackLight et poste le rapport.

Tout semble ok de ce coté...

01/06/08 08:11:20 [info]: BlackLight Engine 1.0.67 initialized

01/06/08 08:11:20 [info]: OS: 5.1 build 2600 (Service Pack 2)

01/06/08 08:11:21 [Note]: 7019 4

01/06/08 08:11:21 [Note]: 7005 0

01/06/08 08:11:34 [Note]: 7006 0

01/06/08 08:11:36 [Note]: 7011 3460

01/06/08 08:11:36 [Note]: 7026 0

01/06/08 08:11:40 [Note]: FSRAW library version 1.7.1024

01/06/08 08:15:19 [Note]: 2000 1012

01/06/08 08:16:08 [Note]: 7007 0

- - - - - - -

Nota: je ne connais pas les produits Adobe, mais je suis très surpris par le nombre de fichiers cachés d'Adobe Photoshop Lightroom 1.3...Ce logiciel aurait-il été installé par la suite crackée?? Essaie de m'en dire plus si tu le peux.

Oui, je l'ai installé voila plusieurs jours. Je suis en évaluation pour un programme de traitement de photos... :roll:

Je viens de soumettre le keygen au Virus Total et il n'est reconnu par personne sauf :

Prevx1 V2 2008.01.06 Heuristic: Suspicious File With Bad Child Associations

Sophos 4.24.0 2008.01.06 Mal/Dropper-O

- - - - - - -

Analyse du rapport HijackThis:

il est propre, mais j'ai une petite interrogation:à quoi correspond ces adresses serveurs??

O17 - HKLM\System\CCS\Services\Tcpip\..\{FEEF3D11-B89E-4957-A97D-3B23809FF073}: NameServer = 200.118.2.66,200.118.2.85,63.245.1.3

Il s'agit des adresses du serveur DNS de mon FAI (je ne vis pas en France)

- - - - - - -

Suppression de Google...

Ok, et effectivement, HijackThis ne trouve pas le service.

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 18:38:02, on 06/01/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16574)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Utilities\Security\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Utilities\Security\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Bonjour\mDNSResponder.exe

C:\WINDOWS\system32\cisvc.exe

C:\Program Files\Internet\No-IP\DUC20.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\Program Files\Internet\RA\RaMaint.exe

C:\Program Files\Internet\RA\RemotelyAnywhere.exe

C:\Program Files\Internet\sambar70\bin\ntserver.exe

C:\Program Files\Spyware Terminator\sp_rsser.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Internet\UltraVNC\WinVNC.exe

C:\WINDOWS\system32\RunDll32.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Canon\CAL\CALMAIN.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\PROGRA~1\UTILIT~1\MImpPRO\MIProHst.exe

C:\Program Files\Peripheriques\Logitech\iTouch\iTouch.exe

C:\Program Files\Internet\RA\RAGui.exe

C:\Program Files\Internet\FTP\Full Présence\full_presence.exe

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fpdisp5a.exe

C:\WINDOWS\system32\RunDLL32.exe

C:\Program Files\Utilities\Unlocker\UnlockerAssistant.exe

C:\Program Files\Audio\Winamp\winampa.exe

C:\Program Files\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe

C:\Program Files\Utilities\Security\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Utilities\Security\Ashampoo FireWall\FireWall.exe

C:\Program Files\Adobe\Adobe Photoshop Lightroom 1.3\apdproxy.exe

C:\Program Files\Spyware Terminator\SpywareTerminatorShield.exe

C:\Program Files\Internet\FTP\CuteFTP\TE\ftpte.exe

C:\Program Files\Internet\ICQ\ICQ.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Utilities\WinBar\WinBar.exe

C:\Program Files\Utilities\Xplorer²\xplorer2_UC.exe

C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

C:\PROGRA~1\INCRED~1\bin\IMApp.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Internet\Firefox\firefox.exe

C:\WINDOWS\system32\NOTEPAD.EXE

C:\WINDOWS\system32\cidaemon.exe

C:\HijackThis\HijackThis.exe

O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: Canon Easy Web Print Helper - {68F9551E-0411-48E4-9AAF-4BC42A6A46BE} - C:\Program Files\Canon\Easy-WebPrint\EWPBrowseLoader.dll

O2 - BHO: (no name) - {724d43a9-0d85-11d4-9908-00400523e39a} - C:\Program Files\Internet\RoboForm\roboform.dll (file missing)

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O3 - Toolbar: &RoboForm - {724d43a0-0d85-11d4-9908-00400523e39a} - C:\Program Files\Internet\RoboForm\roboform.dll (file missing)

O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [nwiz] "nwiz.exe" /install

O4 - HKLM\..\Run: [sW20] C:\WINDOWS\system32\sw20.exe

O4 - HKLM\..\Run: [sW24] C:\WINDOWS\system32\sw24.exe

O4 - HKLM\..\Run: [MImpPro] C:\PROGRA~1\UTILIT~1\MImpPRO\MIProHst.exe

O4 - HKLM\..\Run: [NeroFilterCheck] "C:\Program Files\Fichiers communs\Ahead\Lib\NeroCheck.exe"

O4 - HKLM\..\Run: [zBrowser Launcher] "C:\Program Files\Peripheriques\Logitech\iTouch\iTouch.exe"

O4 - HKLM\..\Run: [WinVNC] "C:\Program Files\Internet\UltraVNC\WinVNC.exe" -servicehelper

O4 - HKLM\..\Run: [RemotelyAnywhere GUI] "C:\Program Files\Internet\RA\RAGui.exe"

O4 - HKLM\..\Run: [full_presence] "C:\Program Files\Internet\FTP\Full Présence\full_presence.exe"

O4 - HKLM\..\Run: [FinePrint Dispatcher v5] "C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fpdisp5a.exe" /source=HKLM

O4 - HKLM\..\Run: [NvMediaCenter] "RunDLL32.exe" NvMCTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [unlockerAssistant] "C:\Program Files\Utilities\Unlocker\UnlockerAssistant.exe"

O4 - HKLM\..\Run: [NvCplDaemon] "RUNDLL32.EXE" C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Audio\Winamp\winampa.exe"

O4 - HKLM\..\Run: [Acrobat Assistant 8.0] "C:\Program Files\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe"

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Utilities\Security\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [Ashampoo FireWall] "C:\Program Files\Utilities\Security\Ashampoo FireWall\FireWall.exe" -TRAY

O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Adobe Photoshop Lightroom 1.3\apdproxy.exe"

O4 - HKLM\..\Run: [spywareTerminator] "C:\Program Files\Spyware Terminator\SpywareTerminatorShield.exe"

O4 - HKCU\..\Run: [CuteFTP Pro TE] "C:\Program Files\Internet\FTP\CuteFTP\TE\ftpte.exe"

O4 - HKCU\..\Run: [incrediMail] C:\Program Files\IncrediMail\bin\IncMail.exe /c

O4 - HKCU\..\Run: [iCQ] "C:\Program Files\Internet\ICQ\ICQ.exe" silent

O4 - HKCU\..\Run: [RoboForm] "C:\Program Files\Internet\RoboForm\RoboTaskBarIcon.exe"

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - Startup: Raccourci vers winampa.lnk = C:\Program Files\Audio\Winamp\winampa.exe

O4 - Startup: WinBar.lnk = C:\Program Files\Utilities\WinBar\WinBar.exe

O4 - Startup: xplorer2.lnk = ?

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O8 - Extra context menu item: Ajouter au fichier PDF existant - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Barre RoboForm - file://C:\Program Files\Internet\RoboForm\RoboFormComShowToolbar.html

O8 - Extra context menu item: Convertir en Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir la cible du lien en Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir la cible du lien en un fichier PDF existant - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir la sélection en Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir la sélection en un fichier PDF existant - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir les liens sélectionnés en fichier Adobe PDF - res://c:\Program Files\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

O8 - Extra context menu item: Convertir les liens sélectionnés en un fichier PDF existant - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Enregistrer le formulaire - file://C:\Program Files\Internet\RoboForm\RoboFormComSavePass.html

O8 - Extra context menu item: Personnaliser le menu - file://C:\Program Files\Internet\RoboForm\RoboFormComCustomizeIEMenu.html

O8 - Extra context menu item: Remplir le formulaire - file://C:\Program Files\Internet\RoboForm\RoboFormComFillForms.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra button: Remplir - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://C:\Program Files\Internet\RoboForm\RoboFormComFillForms.html

O9 - Extra 'Tools' menuitem: Remplir le formulaire - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://C:\Program Files\Internet\RoboForm\RoboFormComFillForms.html

O9 - Extra button: Enregistrer - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://C:\Program Files\Internet\RoboForm\RoboFormComSavePass.html

O9 - Extra 'Tools' menuitem: Enregistrer le formulaire - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://C:\Program Files\Internet\RoboForm\RoboFormComSavePass.html

O9 - Extra button: Barre RoboForm - {724d43aa-0d85-11d4-9908-00400523e39a} - file://C:\Program Files\Internet\RoboForm\RoboFormComShowToolbar.html

O9 - Extra 'Tools' menuitem: Barre RoboForm - {724d43aa-0d85-11d4-9908-00400523e39a} - file://C:\Program Files\Internet\RoboForm\RoboFormComShowToolbar.html

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\Internet\ICQ\ICQ.exe

O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\Internet\ICQ\ICQ.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O15 - Trusted Zone: http://www.msi.com.tw

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/microsoftupdat...b?1195324487484

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdat...b?1195324150015

O16 - DPF: {8167C273-DF59-4416-B647-C8BB2C7EE83E} (WebSDev Control) - http://liveupdate.msi.com.tw/autobios/LOnline/install.cab

O16 - DPF: {FD0B6769-6490-4A91-AA0A-B5AE0DC75AC9} (Performance Viewer Activex Control) - https://xyz-p:2000/activex/RACtrl.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{FEEF3D11-B89E-4957-A97D-3B23809FF073}: NameServer = 200.118.2.66,200.118.2.85,63.245.1.3

O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Utilities\Security\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Utilities\Security\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe

O23 - Service: BPFTPServer - Unknown owner - C:\Program Files\Internet\FTP\BPFTP Server\bpftpserver-service.exe

O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: NBService - Nero AG - C:\Program Files\Audio\Nero\Nero 7\Nero BackItUp\NBService.exe

O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexingService.exe

O23 - Service: NoIPDUCService - Vitalwerks LLC - C:\Program Files\Internet\No-IP\DUC20.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: RemotelyAnywhere Maintenance Service (RAMaint) - LogMeIn, Inc. - C:\Program Files\Internet\RA\RaMaint.exe

O23 - Service: RemotelyAnywhere - LogMeIn, Inc. - C:\Program Files\Internet\RA\RemotelyAnywhere.exe

O23 - Service: Sambar Server - Unknown owner - C:\Program Files\Internet\sambar70\bin\ntserver.exe

O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Program Files\Spyware Terminator\sp_rsser.exe

O23 - Service: VNC Server (winvnc) - www.ultravnc.fr - C:\Program Files\Internet\UltraVNC\WinVNC.exe

--

End of file - 12828 bytes

- - - - - - - -

Nettoyage avec CCleaner => Ok

- - - - - - - -

Scan AntiVir (plus de 6 heures :mhh: ) :

AntiVir PersonalEdition Classic

Report file date: dimanche 6 janvier 2008 19:38

Scanning for 1000802 virus strains and unwanted programs.

Licensed to: Avira AntiVir PersonalEdition Classic

Serial number: 0000149996-ADJIE-0001

Platform: Windows XP

Windows version: (Service Pack 2) [5.1.2600]

Username: SYSTEM

Computer name: XYZ-P

Version information:

BUILD.DAT : 270 15603 Bytes 19/09/2007 13:32:00

AVSCAN.EXE : 7.0.6.1 290856 Bytes 23/08/2007 19:16:29

AVSCAN.DLL : 7.0.6.0 49192 Bytes 16/08/2007 18:23:51

LUKE.DLL : 7.0.5.3 147496 Bytes 14/08/2007 21:32:47

LUKERES.DLL : 7.0.6.1 10280 Bytes 21/08/2007 18:35:20

ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18/07/2007 20:27:15

ANTIVIR1.VDF : 7.0.1.95 3367424 Bytes 14/12/2007 13:57:47

ANTIVIR2.VDF : 7.0.1.170 311296 Bytes 28/12/2007 13:57:47

ANTIVIR3.VDF : 7.0.1.194 93696 Bytes 04/01/2008 13:57:47

AVEWIN32.DLL : 7.6.0.46 3084800 Bytes 05/01/2008 13:57:47

AVWINLL.DLL : 1.0.0.7 14376 Bytes 26/02/2007 16:36:26

AVPREF.DLL : 7.0.2.2 25640 Bytes 18/07/2007 13:39:17

AVREP.DLL : 7.0.0.1 155688 Bytes 16/04/2007 19:16:24

AVPACK32.DLL : 7.6.0.2 360488 Bytes 05/01/2008 13:57:47

AVREG.DLL : 7.0.1.6 30760 Bytes 18/07/2007 13:17:06

AVARKT.DLL : 1.0.0.20 278568 Bytes 28/08/2007 18:26:33

AVEVTLOG.DLL : 7.0.0.20 86056 Bytes 18/07/2007 13:10:18

NETNT.DLL : 7.0.0.0 7720 Bytes 08/03/2007 17:09:42

RCIMAGE.DLL : 7.0.1.30 2342952 Bytes 07/08/2007 18:38:13

RCTEXT.DLL : 7.0.62.0 86056 Bytes 21/08/2007 18:50:37

SQLITE3.DLL : 3.3.17.1 339968 Bytes 23/07/2007 15:37:21

Configuration settings for the scan:

Jobname..........................: Complete system scan

Configuration file...............: c:\program files\utilities\security\avira\antivir personaledition classic\sysscan.avp

Logging..........................: low

Primary action...................: interactive

Secondary action.................: ignore

Scan master boot sector..........: on

Scan boot sector.................: on

Boot sectors.....................: M:,

Scan memory......................: on

Process scan.....................: on

Scan registry....................: on

Search for rootkits..............: on

Scan all files...................: Intelligent file selection

Scan archives....................: on

Recursion depth..................: 20

Smart extensions.................: on

Deviating archive types..........: +BSD Mailbox, +Netscape/Mozilla Mailbox, +Eudora Mailbox, +Squid cache, +Pegasus Mailbox, +MS Outlook Mailbox,

Macro heuristic..................: on

File heuristic...................: medium

Deviating risk categories........: +APPL,+GAME,+JOKE,+PCK,+SPR,

Start of the scan: dimanche 6 janvier 2008 19:38

Starting search for hidden objects.

'45968' objects were checked, '0' hidden objects were found.

The scan of running processes will be started

Scan process 'avscan.exe' - '1' Module(s) have been scanned

Scan process 'firefox.exe' - '1' Module(s) have been scanned

Scan process 'cidaemon.exe' - '1' Module(s) have been scanned

Scan process 'notepad.exe' - '1' Module(s) have been scanned

Scan process 'wuauclt.exe' - '1' Module(s) have been scanned

Scan process 'alg.exe' - '1' Module(s) have been scanned

Scan process 'ImApp.exe' - '1' Module(s) have been scanned

Scan process 'FNPLicensingService.exe' - '1' Module(s) have been scanned

Scan process 'xplorer2_UC.exe' - '1' Module(s) have been scanned

Scan process 'WinBar.exe' - '1' Module(s) have been scanned

Scan process 'ctfmon.exe' - '1' Module(s) have been scanned

Scan process 'ICQ.exe' - '1' Module(s) have been scanned

Scan process 'ftpte.exe' - '1' Module(s) have been scanned

Scan process 'Spywareterminatorshield.Exe' - '1' Module(s) have been scanned

Scan process 'apdproxy.exe' - '1' Module(s) have been scanned

Scan process 'FireWall.exe' - '1' Module(s) have been scanned

Scan process 'avgnt.exe' - '1' Module(s) have been scanned

Scan process 'acrotray.exe' - '1' Module(s) have been scanned

Scan process 'winampa.exe' - '1' Module(s) have been scanned

Scan process 'UnlockerAssistant.exe' - '1' Module(s) have been scanned

Scan process 'rundll32.exe' - '1' Module(s) have been scanned

Scan process 'fpdisp5a.exe' - '1' Module(s) have been scanned

Scan process 'full_presence.exe' - '1' Module(s) have been scanned

Scan process 'ragui.exe' - '1' Module(s) have been scanned

Scan process 'iTouch.exe' - '1' Module(s) have been scanned

Scan process 'MIProHst.exe' - '1' Module(s) have been scanned

Scan process 'soundman.exe' - '1' Module(s) have been scanned

Scan process 'CALMAIN.exe' - '1' Module(s) have been scanned

Scan process 'explorer.exe' - '1' Module(s) have been scanned

Scan process 'rundll32.exe' - '1' Module(s) have been scanned

Scan process 'winvnc.exe' - '1' Module(s) have been scanned

Scan process 'wdfmgr.exe' - '1' Module(s) have been scanned

Scan process 'svchost.exe' - '1' Module(s) have been scanned

Scan process 'sp_rsser.exe' - '1' Module(s) have been scanned

Scan process 'ntserver.exe' - '1' Module(s) have been scanned

Scan process 'RemotelyAnywhere.exe' - '1' Module(s) have been scanned

Scan process 'ramaint.exe' - '1' Module(s) have been scanned

Scan process 'nvsvc32.exe' - '1' Module(s) have been scanned

Scan process 'DUC20.exe' - '1' Module(s) have been scanned

Scan process 'cisvc.exe' - '1' Module(s) have been scanned

Scan process 'mDNSResponder.exe' - '1' Module(s) have been scanned

Scan process 'sched.exe' - '1' Module(s) have been scanned

Scan process 'avguard.exe' - '1' Module(s) have been scanned

Scan process 'spoolsv.exe' - '1' Module(s) have been scanned

Scan process 'svchost.exe' - '1' Module(s) have been scanned

Scan process 'lsass.exe' - '1' Module(s) have been scanned

Scan process 'services.exe' - '1' Module(s) have been scanned

Scan process 'winlogon.exe' - '1' Module(s) have been scanned

Scan process 'csrss.exe' - '1' Module(s) have been scanned

Scan process 'smss.exe' - '1' Module(s) have been scanned

54 processes with 54 modules were scanned

Starting master boot sector scan:

Master boot sector HD0

[NOTE] No virus was found!

Master boot sector HD1

[NOTE] No virus was found!

Master boot sector HD2

[NOTE] No virus was found!

Master boot sector HD3

[NOTE] No virus was found!

Start scanning boot sectors:

Boot sector 'C:\'

[NOTE] No virus was found!

Boot sector 'D:\'

[NOTE] No virus was found!

Boot sector 'E:\'

[NOTE] No virus was found!

Boot sector 'F:\'

[NOTE] No virus was found!

Boot sector 'M:\'

[NOTE] No virus was found!

Starting to scan the registry.

The registry was scanned ( '25' files ).

Starting the file scan:

Begin scan in 'C:\'

C:\Muestras.rar

[0] Archive type: RAR

--> Muestras\SROSA.SYS.Muestra EliBagle v10.81

[DETECTION] Is the Trojan horse TR/Rootkit.Gen

[WARNING] The file was ignored!

C:\pagefile.sys

[WARNING] The file could not be opened!

C:\Muestras\SROSA.SYS.Muestra EliBagle v10.81

[DETECTION] Is the Trojan horse TR/Rootkit.Gen

[WARNING] The file was ignored!

C:\Program Files\Internet\FTP\BPFTP Server\bpftpserver-service.exe

[DETECTION] Contains detection pattern of the SPR/Tool.ServiceRunner program

[iNFO] The file was moved to '47e78678.qua'!

C:\WINDOWS\system32\drivers\sptd.sys

[WARNING] The file could not be opened!

Begin scan in 'D:\' <D>

D:\Ce-Jour\ComboFix.exe

[0] Archive type: RAR SFX (self extracting)

--> nircmd.exe

[DETECTION] Contains detection pattern of the application APPL/NirCmd.3

--> nircmd.cfexe

[DETECTION] Contains detection pattern of the application APPL/NirCmd.3

[iNFO] The file was moved to '47ee8cf9.qua'!

D:\ProgSave\Ecrire&Fontes\Ecrire\Adobe\Alap.InEffects.1.0.2.for.Adobe.InDesign.CS2.incl.KeyGen-SCOTCH.rar

[0] Archive type: RAR

--> Alap.InEffects.1.0.2.for.Adobe.InDesign.CS2.incl.KeyGen-SCOTCH\siei102a.zip

[1] Archive type: ZIP

--> scotch.part1.rar

[2] Archive type: RAR

--> alap.software.multikeygen.v1.8.exe

[DETECTION] File has been compressed with an unusual runtime compression tool (PCK/FSG). Please verify the origin of the file

[iNFO] The file was moved to '47e2943a.qua'!

Begin scan in 'E:\' <eMule>

E:\Progs\ALAP.Imposer.Pro.v1.1.3.for.Adobe.InDesign.Incl.Keygen-SCOTCH.rar

[0] Archive type: RAR

--> ALAP.Imposer.Pro.v1.1.3.for.Adobe.InDesign.Incl.Keygen-SCOTCH\s-ip113a.zip

[1] Archive type: ZIP

--> scotch.part1.rar

[2] Archive type: RAR

--> alap.software.multikeygen.v1.8.exe

[DETECTION] File has been compressed with an unusual runtime compression tool (PCK/FSG). Please verify the origin of the file

[iNFO] The file was moved to '47c2a7f8.qua'!

E:\Progs\Macromedia Studio 8 Fr (dreamweaver 8 - Fireworks 8 - Flash + Kegen.ace

[0] Archive type: ACE

--> Video voir en premier.avi

[WARNING] Error creating the file

--> Le concept.doc

[WARNING] No further files can be extracted from this archive. The archive will be closed

E:\Progs\WinRAR 3.62 Fr & Crack.rar

[0] Archive type: RAR

--> WinRAR 3.62 Fr & Crack\Patch WinRAR 3.62.exe

[DETECTION] Contains detection pattern of the application APPL/Xema.A

[iNFO] The file was moved to '47efaa45.qua'!

E:\Zique\Graeme Allwright - Masterseries - 3Cd Mp3 Full Album Covers.ace

[0] Archive type: ACE

--> [mas][graeme_allwright.masterseries_3cd][vbr_mp3_full_album_covers]\cd11 - Emmne-moi.mp3

[WARNING] Error creating the file

--> [mas][graeme_allwright.masterseries_3cd][vbr_mp3_full_album_covers]\cd32 - Vagabondage.mp3

[WARNING] No further files can be extracted from this archive. The archive will be closed

Begin scan in 'F:\' <F>

Begin scan in 'M:\' <M>

End of the scan: lundi 7 janvier 2008 01:46

Used time: 6:07:18 min

The scan has been done completely.

24731 Scanning directories

1294879 Files were scanned

8 viruses and/or unwanted programs were found

0 Files were classified as suspicious:

0 files were deleted

0 files were repaired

5 files were moved to quarantine

0 files were renamed

2 Files cannot be scanned

1294871 Files not concerned

16977 Archives were scanned

33 Warnings

84 Notes

45968 Objects were scanned with rootkit scan

0 Hidden objects were found

- - - - - - - - -

Scan de KASPERSKY (également plus de 6 heures)

-------------------------------------------------------------------------------

KASPERSKY ON-LINE SCANNER REPORT

Monday, January 07, 2008 10:27:50 AM

Système d'exploitation : Microsoft Windows XP Professional, Service Pack 2 (Build 2600)

Kaspersky On-line Scanner version : 5.0.83.0

Dernière mise à jour de la base antivirus Kaspersky : 6/01/2008

Enregistrements dans la base antivirus Kaspersky : 470191

-------------------------------------------------------------------------------

Paramètres d'analyse:

Analyser avec la base antivirus suivante: standard

Analyser les archives: vrai

Analyser les bases de messagerie: vrai

Cible de l'analyse - Poste de travail:

A:\

C:\

D:\

E:\

F:\

G:\

H:\

M:\

Statistiques de l'analyse:

Total d'objets analysés: 437730

Nombre de virus trouvés: 2

Nombre d'objets infectés: 108 / 0

Nombre d'objets suspects: 0

Durée de l'analyse: 08:14:47

Nom de l'objet infecté / Nom du virus / Dernière action

C:\Documents and Settings\All Users\Application Data\Avira\AntiVir PersonalEdition

Classic\LOGFILES\AVSCAN-20080106-193849-FFB6D3F1.LOG L'objet est verrouillé ignoré

C:\Documents and Settings\All Users\Application Data\Avira\AntiVir PersonalEdition

Classic\TEMP\AVSCAN-20080106-193849-FFB6B6732_system L'objet est verrouillé ignoré

C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat L'objet est verrouillé

ignoré

C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat L'objet est verrouillé

ignoré

C:\Documents and Settings\LocalService\Cookies\index.dat L'objet est verrouillé ignoré

C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est

verrouillé ignoré

C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est

verrouillé ignoré

C:\Documents and Settings\LocalService\Local Settings\Historique\History.IE5\index.dat L'objet est verrouillé ignoré

C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est

verrouillé ignoré

C:\Documents and Settings\LocalService\NTUSER.DAT L'objet est verrouillé ignoré

C:\Documents and Settings\LocalService\ntuser.dat.LOG L'objet est verrouillé ignoré

C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est

verrouillé ignoré

C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est

verrouillé ignoré

C:\Documents and Settings\NetworkService\NTUSER.DAT L'objet est verrouillé ignoré

C:\Documents and Settings\NetworkService\ntuser.dat.LOG L'objet est verrouillé ignoré

C:\Documents and Settings\Papa\Application Data\ICQ\138919835\Messages.mdb L'objet est verrouillé ignoré

C:\Documents and Settings\Papa\Application Data\ICQ\138919835\Owner.mdb L'objet est verrouillé ignoré

C:\Documents and Settings\Papa\Application Data\ICQ\Application.mdb L'objet est verrouillé ignoré

C:\Documents and Settings\Papa\Application Data\Mozilla\Firefox\Profiles\edw9uyqk.default\cert8.db L'objet est

verrouillé ignoré

C:\Documents and Settings\Papa\Application Data\Mozilla\Firefox\Profiles\edw9uyqk.default\formhistory.dat L'objet est

verrouillé ignoré

C:\Documents and Settings\Papa\Application Data\Mozilla\Firefox\Profiles\edw9uyqk.default\history.dat L'objet est

verrouillé ignoré

C:\Documents and Settings\Papa\Application Data\Mozilla\Firefox\Profiles\edw9uyqk.default\key3.db L'objet est

verrouillé ignoré

C:\Documents and Settings\Papa\Application Data\Mozilla\Firefox\Profiles\edw9uyqk.default\parent.lock L'objet est

verrouillé ignoré

C:\Documents and Settings\Papa\Application Data\Mozilla\Firefox\Profiles\edw9uyqk.default\search.sqlite L'objet est

verrouillé ignoré

C:\Documents and Settings\Papa\Application Data\Mozilla\Firefox\Profiles\edw9uyqk.default\urlclassifier2.sqlite L'objet est

verrouillé ignoré

C:\Documents and Settings\Papa\Cookies\index.dat L'objet est verrouillé ignoré