[Résolu] Ordinateur de plus en plus bloqué

Cartier83 · le 17 mars 2008

Bonjour,

Voici l'historique de la situation :

- Avast antivirus a commencé à envoyer des alertes d'attaques.

- J'ai fait un scan complet avec Avast. Nettoyage ok.

- J'ai pensé (grosse bétise) à faire un autre scan avec Antivir que j'utlise sur d'autres ordis. Mais comme 2 antivirus ne cohabitent pas, j'ai commencé par désinstaller Avast avant de télécharger Antivir. Antivir s'est chargé mais jamais installé.

- J'ai supprimé la connection de cet ordi pour qu'il n'infecte pas mon réseau local.

- j'ai récupéré Spy Sweeper sur un autre ordi par une clé usb, et je l'ai installé. Installation apparement normale.

- début des alertes en tout genre style redirection vers pcprivacytool.com.

- disparition de l'accès au panneau de configuration.

- blocage de l'ordi au lancement de Spy Sweeper, et impossible de le redémarrer en mode normal : Le pointeur se bloque au moment de choisir un utilisateur.

- à partir de là, démarrage possible uniquement en mode sans échec.

- Spy sweeper avec antivirus se lance mais se bloque avant la fin. Si je l'arrête manuellement, il efface les trojan. Si je renouvelle l'opération, les mêmes trojans sont trouvés à nouveau.

- toujours avec la clé usb, j'ai chargé hijackthis et récupéré le log sur la clé.

- retour sur un autre ordi où j'ai donné le log à mouliner à http://www.hijackthis.de/fr. C'est très mauvais.

- toujours en mode sans échec, j'ai fait un ccleaner. Résultat ok

- Avec la clé usb j'ai installé AVG spyware. Il ne s'est pas bloqué contrairement à Spy sweeper, mais impossible d'avoir un rapport à la fin (bouton grisé)

- toujours impossible d'accéder en mode normal. en mode sans échec, les propositions de télécharger un anti spyware continuent.

Je vois venir le reformatage à grands pas, mais bon, merci pour votre aide ( si il y a une solution...)

Modifié le 27 mars 2008 par Cartier83

cauxboy · le 17 mars 2008

Peux tu poster ton log HJT pour voir ce qui ne va pas.

Cartier83 · le 17 mars 2008

Ok, merci.

Voici le log transféré via une clé usb. L'ordi ne fonctionne qu'en mode sans échec.

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 17:13:32, on 17/03/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16608)

Boot mode: Safe mode

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\shell.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.yahoo.com/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn3\yt.dll

F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\shell.exe

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn3\yt.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKLM\..\Run: [hrniaj] rundll32.exe "C:\WINDOWS\TEMP\dkjal.drv" WLEntryPoint

O4 - HKLM\..\Run: [Printer] C:\WINDOWS\system32\printer.exe

O4 - HKCU\..\Run: [spoolsv] C:\WINDOWS\system32\spoolvs.exe

O4 - HKLM\..\Policies\Explorer\Run: [rmlgr] rundll32.exe "C:\WINDOWS\system32\dsbalkjeh.dll" WLEntryPoint

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\S-1-5-18\..\Run: [spoolsv] C:\WINDOWS\system32\spoolvs.exe (User 'SYSTEM')

O4 - HKUS\S-1-5-18\..\Run: [autoload] C:\Documents and Settings\LocalService.AUTORITE NT\Local Settings\Application Data\cftmon.exe (User 'SYSTEM')

O4 - HKUS\S-1-5-18\..\Run: [ntuser] C:\WINDOWS\system32\drivers\spools.exe (User 'SYSTEM')

O4 - HKUS\S-1-5-18\..\Run: [Jnskdfmf9eldfd] C:\WINDOWS\TEMP\csrssc.exe (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - Startup: findfast.exe

O4 - Global Startup: autorun.exe

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

O7 - HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm

O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\npjpi160_03.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\npjpi160_03.dll

O9 - Extra button: Capturer ! - {47055D63-DFCD-11d3-8406-00500445A7D0} - C:\Program Files\Goto\MemoWeb 4\IEBtn\Launcher (file missing)

O9 - Extra 'Tools' menuitem: Capturer ce web - {47055D63-DFCD-11d3-8406-00500445A7D0} - C:\Program Files\Goto\MemoWeb 4\IEBtn\Launcher (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll

O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll

O16 - DPF: {5C6698D9-7BE4-4122-8EC5-291D84DBD4A0} (Facebook Photo Uploader 4 Control) - http://upload.facebook.com/controls/Facebo...toUploader3.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupd...b?1186846561046

O20 - AppInit_DLLs: C:\WINDOWS\system32\wowfx.dll

O21 - SSODL: AlrtWin - {e60bbf5e-46b6-4668-93e1-c75c6fe1c0ca} - C:\WINDOWS\Installer\{e60bbf5e-46b6-4668-93e1-c75c6fe1c0ca}\AlrtWin.dll

O21 - SSODL: zip - {4cd37ce9-5019-4302-a112-abadf1fde23d} - C:\WINDOWS\Installer\{4cd37ce9-5019-4302-a112-abadf1fde23d}\zip.dll

O21 - SSODL: ServiceAvp - {026bf553-0746-47a0-b8a1-817ab7ea4ac0} - C:\WINDOWS\Installer\{026bf553-0746-47a0-b8a1-817ab7ea4ac0}\ServiceAvp.dll

O21 - SSODL: WLogon - {C222CF11-145F-2FF2-31AC-F613D471C63D} - C:\WINDOWS\system32\wlogon32.dll

O21 - SSODL: akDcvc - {68EFC787-C245-6D2D-5C5A-BABE7E0DE695} - (no file)

O21 - SSODL: DriveAvp - {cc674d1c-81ce-4f4b-bd79-af77443c47ca} - C:\WINDOWS\Installer\{cc674d1c-81ce-4f4b-bd79-af77443c47ca}\DriveAvp.dll

O21 - SSODL: WinVolume - {3bff9cd4-3090-4896-bf96-a0a73f70e9cb} - C:\WINDOWS\Installer\{3bff9cd4-3090-4896-bf96-a0a73f70e9cb}\WinVolume.dll

O22 - SharedTaskScheduler: Hjkfj93dffd - {B5AF0562-94F3-42BD-F434-2604812C797D} - C:\WINDOWS\system32\Kf94lfg.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\SYSTEM32\ati2sgag.exe

O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: GhostStartService - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton Ghost\GhostStartService.exe

O23 - Service: Google Online Search Service - Unknown owner - C:\WINDOWS\system32\winlugan.exe (file missing)

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: ICF - Unknown owner - C:\WINDOWS\system32\svchost.exe:exe.exe

O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE

O23 - Service: Planificateur de tâches (Schedule) - Unknown owner - C:\WINDOWS\system32\drivers\spools.exe

O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE

O23 - Service: Epson Printer Status Agent (StatusAgent) - SEIKO EPSON CORPORATION - C:\ESM2\SAgentNT.exe

O23 - Service: Moteur Webroot Spy Sweeper (WebrootSpySweeperService) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe

--

End of file - 6937 bytes

cauxboy · le 18 mars 2008

Bon ben il y a du boulot,

Commencons par le début

Télécharger SDFix (créé par AndyManchesta) et le sauvegarder sur le Bureau.

- Double cliquer sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau.

Redémarrer en mode sans échec

- Ouvrir le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clic sur RunThis.cmd pour lancer le script.

- Appuie sur Y pour commencer le processus de nettoyage.

- Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis demandera d'appuyer sur une touche pour redémarrer.

- Le redémarrage sera un peu plus lent que d'hab il va continuer à s'exécuter et supprimer des fichiers.

- Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.

- Appuyer sur une touche pour finir l'exécution du script et charger les icônes du Bureau.

- Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.

- Copie le et poste le rapport .

Télécharge smitfraudfix et dézipe le

toujours sur le bureau

supprime la restauration systeme (afin d'effacer tout fichier infecté)

démarrer/exécuter/tape: control

ouvre "système" onglet "restauration du système"

coche "désactiver la restauration système"

clic sur ok a la fenêtre qui s'ouvre

Ensuite tu télécharges VundoFix.exe (par Atribune) sur ton Bureau.

Double-clique VundoFix.exe afin de le lancer

Clique sur le bouton Scan for Vundo

Lorsque le scan est complété, clique sur le bouton Remove Vundo

Une invite te demandera si tu veux supprimer les fichiers, clique YES

Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers

Tu verras une invite qui t'annonce que ton PC va redémarrer; clique OK

Note: Il est possible que VundoFix soit confronté à un fichier qu'il ne peut supprimer. Si tel est le cas, l'outil se lancera au prochain redémarrage; il faut simplement suivre les instructions ci-haut, à partir de "clique sur le bouton Scan for Vundo".

Télécharge combofix.exe

(par sUBs) et sauvegarde le sur ton bureau.

Double-clique combofix.exe afin de l'exécuter et suis les instructions.

Lorsque l'analyse sera complétée, un rapport apparaîtra.

Copie et colle le rapport dans ta prochaine réponse.

Par contre il faudrait que tu utilises ccleaner à telecharger ici histoire de faire un peu de nettoyage.

Tu as Spybot Search and destroy mais je ne le vois pas dans le hijackthis. Cet utilitaire est pas mal pour virer les malware, spyware,.... donc tu veux tu peux te l'installer, met le a jour et lance un scan complet.

Relance un nouveau rapport HijackThis! et poste le a nouveau dans ta prochaine réponse

Modifié le 18 mars 2008 par cauxboy

Cartier83 · le 19 mars 2008

Bonjour et merci pour ta réponse, il y a effectivement du boulot

J'ai suivi ta prescription et ya du bon et du moins bon au niveau résultat.

J'ai démarré SDFix en mode sans échec qui a mouliné normalement puis s'est bloqué arrivé à 75% Checked. J'ai eu l'impression que l'accès à la base de registre était bloqué et toujours pas de panneau de configuration accessible. j'ai relancé l'ordi à la main, SDFix s'est achevé.

J'ai lancé smitfraudfix.

Impossible de supprimer la restauration système.

La commande control donne le message suivant : "Cette opération a été annulée en raison des restrictions en vigueur sur cet ordinateur. Contactez votre administrateur système."

J'ai lancé Vundofix; Il n'a rien trouvé mais par contre ne s'arrête pas tout seul. Il se bloque sur "remove..."

J'ai finalement accès à system et j'ai supprimé la restauration systeme.

Les messages d'alertes de pcprivacytools ont disparus. Le panneau de configuration est revenu. mais toujours impossible d'installer antivir.

J'ai relancé et tous les problèmes sont revenus comme au premier jour

L'ordi s'est planté pendant que je te répondais et je suis revenu à mon ordi portable pour faire cette réponse. Les logs ont été copiés sur une clé usb.

Voici les logs :

SDFix: Version 1.158

Run by Ed on 18/03/2008 at 14:01

Microsoft Windows XP [version 5.1.2600]

Running From: C:\DOCUME~1\Ed\Bureau\SDFix

Checking Services :

Name:

Google Online Search Service

guntest

hipsrv

ICF

riode32

wblwccwx

Path:

C:\WINDOWS\system32\winlugan.exe -A

\??\C:\WINDOWS\Help\guntest.chm

\??\C:\WINDOWS\system\hipsrv.mm

C:\WINDOWS\system32\svchost.exe:exe.exe

\??\C:\WINDOWS\system32\drivers\riode32.sys

system32\drivers\bwbtapow.dat

Google Online Search Service - Deleted

guntest - Deleted

hipsrv - Deleted

ICF - Deleted

riode32 - Deleted

wblwccwx - Deleted

Killing PID 1600 'shell.exe'

Restoring Windows Registry Values

Restoring Windows Default Hosts File

Restoring Default Desktop Wallpaper

Resetting SecurityProviders Value

Restoring Default Schedule Service Path

Resetting AppInit_DLLs value

Rebooting

Service wblwccwx - Deleted after Reboot

Checking Files :

Trojan Files Found:

C:\WINDOWS\Installer\{e60bbf5e-46b6-4668-93e1-c75c6fe1c0ca}\AlrtWin.dll - Deleted

C:\WINDOWS\Installer\{4cd37ce9-5019-4302-a112-abadf1fde23d}\zip.dll - Deleted

C:\WINDOWS\Installer\{026bf553-0746-47a0-b8a1-817ab7ea4ac0}\ServiceAvp.dll - Deleted

C:\WINDOWS\Installer\{cc674d1c-81ce-4f4b-bd79-af77443c47ca}\DriveAvp.dll - Deleted

C:\WINDOWS\Installer\{3bff9cd4-3090-4896-bf96-a0a73f70e9cb}\WinVolume.dll - Deleted

C:\WINDOWS\SYSTEM32\DGFAHCN.BMP - Deleted

C:\WINDOWS\SYSTEM32\IDGRETGF.BMP - Deleted

C:\WINDOWS\SYSTEM32\JETOJMP.BMP - Deleted

C:\WINDOWS\SYSTEM32\LOBIH.BMP - Deleted

C:\WINDOWS\system32\Kf94lfg.dll - Deleted

C:\176054~1 - Deleted

C:\WINDOWS\SYSTEM32\ATMPVCN.DLL - Deleted

C:\Documents and Settings\Ed\Local Settings\Application Data\cftmon.exe - Deleted

C:\Documents and Settings\LocalService.AUTORITE NT\Local Settings\Application Data\cftmon.exe - Deleted

C:\WINDOWS\help\guntest.chm - Deleted

C:\WINDOWS\system\hipsrv.mm - Deleted

C:\WINDOWS\system32\drivers\spools.exe - Deleted

C:\WINDOWS\system32\wowfx.dll - Deleted

C:\WINDOWS\system32\drivers\bwbtapow.dat - Deleted

Folder C:\WINDOWS\Installer\{e60bbf5e-46b6-4668-93e1-c75c6fe1c0ca} - Removed

Folder C:\WINDOWS\Installer\{4cd37ce9-5019-4302-a112-abadf1fde23d} - Removed

Folder C:\WINDOWS\Installer\{026bf553-0746-47a0-b8a1-817ab7ea4ac0} - Removed

Folder C:\WINDOWS\Installer\{cc674d1c-81ce-4f4b-bd79-af77443c47ca} - Removed

Folder C:\WINDOWS\Installer\{3bff9cd4-3090-4896-bf96-a0a73f70e9cb} - Removed

Folder C:\Program Files\IE Extensions - Removed

Removing Temp Files

ADS Check :

C:\WINDOWS\system32\svchost.exe

: ADS Found!

svchost.exe: deleted 28672 bytes in 1 streams.

Checking for remaining Streams

C:\WINDOWS\system32\svchost.exe

No streams found.

Final Check :

catchme 0.3.1344.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-03-18 16:11:08

Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

C:\bot.exe [2652] 0x86BFB968

scanning hidden services & system hive ...

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\kprof]

"Type"=dword:00000001

"Start"=dword:00000001

"ErrorControl"=dword:00000000

"ImagePath"=str(2):"\??\C:\WINDOWS\system32\kprof"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\kprof\Security]

"Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\poof]

"Type"=dword:00000001

"Start"=dword:00000000

"ErrorControl"=dword:00000000

"ImagePath"=str(2):"system32\poof"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\poof\Security]

"Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\kprof]

"Type"=dword:00000001

"Start"=dword:00000001

"ErrorControl"=dword:00000000

"ImagePath"=str(2):"\??\C:\WINDOWS\system32\kprof"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\kprof\Security]

"Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\poof]

"Type"=dword:00000001

"Start"=dword:00000000

"ErrorControl"=dword:00000000

"ImagePath"=str(2):"system32\poof"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\poof\Security]

"Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kprof]

"Type"=dword:00000001

"Start"=dword:00000001

"ErrorControl"=dword:00000000

"ImagePath"=str(2):"\??\C:\WINDOWS\system32\kprof"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kprof\Security]

"Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\poof]

"Type"=dword:00000001

"Start"=dword:00000000

"ErrorControl"=dword:00000000

"ImagePath"=str(2):"system32\poof"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\poof\Security]

"Security"=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,..

scanning hidden registry entries ...

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher]

"TracesProcessed"=dword:000000c4

"TracesSuccessful"=dword:00000002

scanning hidden files ...

C:\WINDOWS\SYSTEM32\kprof 7040 bytes executable

C:\WINDOWS\SYSTEM32\poof 37632 bytes executable

scan completed successfully

hidden processes: 1

hidden services: 2

hidden files: 46

Remaining Services :

Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]

"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

"C:\\Program Files\\Myst Online\\UruExplorer.exe"="C:\\Program Files\\Myst Online\\UruExplorer.exe:*:Enabled:UruExplorer"

"C:\\Program Files\\Yahoo!\\Messenger\\YahooMessenger.exe"="C:\\Program Files\\Yahoo!\\Messenger\\YahooMessenger.exe:*:Enabled:Yahoo! Messenger"

"C:\\Program Files\\Yahoo!\\Messenger\\YServer.exe"="C:\\Program Files\\Yahoo!\\Messenger\\YServer.exe:*:Enabled:Yahoo! FT Server"

"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"="C:\\Program Files\\MSN Messenger\\msnmsgr.exe:*:Enabled:Windows Live Messenger 8.1"

"C:\\Program Files\\MSN Messenger\\livecall.exe"="C:\\Program Files\\MSN Messenger\\livecall.exe:*:Enabled:Windows Live Messenger 8.1 (Phone)"

"C:\\Team17\\Worms2\\frontend.exe"="C:\\Team17\\Worms2\\frontend.exe:*:Enabled:Worms 2 Frontend"

"C:\\Program Files\\AC2\\ac2probe.exe"="C:\\Program Files\\AC2\\ac2probe.exe:*:Enabled:ac2probe"

"C:\\Documents and Settings\\LocalService.AUTORITE NT\\Application Data\\printer.exe"="C:\\Documents and Settings\\LocalService.AUTORITE NT\\Application Data\\printer.exe:*:Enabled:@xpsp2res.dll,-22019"

"C:\\WINDOWS\\system32\\printer.exe"="C:\\WINDOWS\\system32\\printer.exe:*:Enabled:@xpsp2res.dll,-22019"

"C:\\WINDOWS\\system32\\spoolvs.exe"="C:\\WINDOWS\\system32\\spoolvs.exe:*:Enabled:@xpsp2res.dll,-22019"

"C:\\WINDOWS\\shell.exe"="C:\\WINDOWS\\shell.exe:*:Enabled:@xpsp2res.dll,-22019"

"\\findfast.exe"="\\findfast.exe:*:Enabled:@xpsp2res.dll,-22019"

"C:\\Documents and Settings\\All Users.WINDOWS\\Menu D‚marrer\\Programmes\\D‚marrage\\autorun.exe"="C:\\Documents and Settings\\All Users.WINDOWS\\Menu D‚marrer\\Programmes\\D‚marrage\\autorun.exe:*:Enabled:@xpsp2res.dll,-22019"

"%windir%\\system32\\winav.exe"="%windir%\\system32\\winav.exe:*:Enabled:@xpsp2res.dll,-22019"

"C:\\WINDOWS\\system32\\winmed.exe"="C:\\WINDOWS\\system32\\winmed.exe:*:Enabled:ENABLE"

"C:\\bot.exe"="C:\\bot.exe:*:Enabled:Windows Update"

"C:\\Documents and Settings\\LocalService.AUTORITE NT\\Application Data\\sysdefender.exe"="C:\\Documents and Settings\\LocalService.AUTORITE NT\\Application Data\\sysdefender.exe:*:Enabled:@xpsp2res.dll,-22019"

"C:\\Documents and Settings\\LocalService.AUTORITE NT\\Application Data\\mcrupdate.exe"="C:\\Documents and Settings\\LocalService.AUTORITE NT\\Application Data\\mcrupdate.exe:*:Enabled:@xpsp2res.dll,-22019"

"C:\\Documents and Settings\\Walter\\Menu D‚marrer\\Programmes\\D‚marrage\\findfast.exe"="C:\\Documents and Settings\\Walter\\Menu D‚marrer\\Programmes\\D‚marrage\\findfast.exe:*:Enabled:@xpsp2res.dll,-22019"

"C:\\Documents and Settings\\Ed\\Menu D‚marrer\\Programmes\\D‚marrage\\findfast.exe"="C:\\Documents and Settings\\Ed\\Menu D‚marrer\\Programmes\\D‚marrage\\findfast.exe:*:Enabled:@xpsp2res.dll,-22019"

"C:\\Documents and Settings\\Administrateur.AMATEUR\\Menu D‚marrer\\Programmes\\D‚marrage\\findfast.exe"="C:\\Documents and Settings\\Administrateur.AMATEUR\\Menu D‚marrer\\Programmes\\D‚marrage\\findfast.exe:*:Enabled:@xpsp2res.dll,-22019"

"C:\\Documents and Settings\\TEMP\\Menu D‚marrer\\Programmes\\D‚marrage\\findfast.exe"="C:\\Documents and Settings\\TEMP\\Menu D‚marrer\\Programmes\\D‚marrage\\findfast.exe:*:Enabled:@xpsp2res.dll,-22019"

"C:\\Documents and Settings\\Administrateur.AMATEUR\\Application Data\\pcpriv.exe"="C:\\Documents and Settings\\Administrateur.AMATEUR\\Application Data\\pcpriv.exe:*:Enabled:@xpsp2res.dll,-22019"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]