[Résolu] Encore un HijackThis ...please !

searchboy · le 24 mars 2008

Bonjour,

Je suis désolé de vous déranger, j'avais trouvé sur ce site un analyseur automatique de HijackThis log mais je ne remets plus la souris dessus ! J'ai passé Antivir en mode sans échec après un coup d'Avast en mode normal résultats 18 trojan et ver supprimés. j'ai gardé Antivir comme vous le conseillez: cela a nettement amélioré les choses : voici mon log HijackThis :

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 14:48:56, on 22/03/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\LEXPPS.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\WINDOWS\System32\cisvc.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\system32\spupdsvc.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spnpinst.exe

C:\WINDOWS\system32\Sysocmgr.exe

C:\WINDOWS\system32\RunDLL32.exe

C:\Program Files\e-Carte Bleue\LCL\e-Carte Bleue VISA Cleo\ECB-CLEO.exe

C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe

E:\iTunesHelper.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\WINDOWS\system32\cidaemon.exe

C:\Documents and Settings\Francis\Bureau\searchboy.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.club-internet.fr/

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Windows Internet Explorer fourni par Yahoo! France

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: e-Carte Bleue Browser Helper Object - {2E03C0FD-4C48-43A7-9A54-00240C70FF16} - C:\WINDOWS\system32\BhoECart.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\D\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O3 - Toolbar: Veoh Browser Plug-in - {D0943516-5076-4020-A3B5-AEFAF26AB263} - E:\Plugins\reg\VeohToolbar.dll

O4 - HKLM\..\Run: [PD0620 STISvc] RunDLL32.exe P0620Pin.dll,RunDLL32EP 513

O4 - HKLM\..\Run: [eCarteBleue-CLEO] "C:\Program Files\e-Carte Bleue\LCL\e-Carte Bleue VISA Cleo\ECB-CLEO.exe" /dontopenmycards

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"

O4 - HKLM\..\Run: [stupid Data Dart Wave] C:\Documents and Settings\All Users\Application Data\flag ace stupid data\ONE PILE.exe

O4 - HKLM\..\Run: [iTunesHelper] "E:\iTunesHelper.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - HKCU\..\Run: [army data] C:\DOCUME~1\Francis\APPLIC~1\BAITTH~1\For Camp.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {3DA5D23B-EFE1-4181-ADB7-7D457567AACA} (TGOnlineCtrl Class) - http://www.msnjeux.com/online2/MSN_INTL_FR...pandaonline.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx2.hotmail.com/mail/w2/pr02/resources/MSNPUpld.cab

O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://appldnld.apple.com.edgesuite.net/qt...meInstaller.exe

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111...all/xscan53.cab

O16 - DPF: {7CCAD6DD-DD0B-440B-91FF-7670F5AADC21} (SpinTop Games Launcher) - http://www.msnjeux.com/online2/MSN_INTL_FR...mesLauncher.cab

O16 - DPF: {7E980B9B-8AE5-466A-B6D6-DA8CF814E78A} (MJLauncherCtrl Class) - http://msnfr.oberon-media.com/online2/MSN_...mjolauncher.cab

O16 - DPF: {B79A53C0-1DAC-4636-BACE-FD086A7A79BF} (AdSignerLCContrl Class) - https://static.impots.gouv.fr/tdir/static/a...gnerADP-1.0.cab

O16 - DPF: {BAE1D8DF-0B35-47E3-A1E7-EEB3FF2ECD19} (CPlayFirstddfotgControl Object) - http://msnfr.oberon-media.com/online2/MSN_...tg.1.0.0.33.cab

O16 - DPF: {CE3409C4-9E26-4F8E-83E4-778498F9E7B4} (PB_Uploader Class) - http://www.photoways.com/clients/uploader_v2.2.0.6.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://download.macromedia.com/pub/shockwa...ash/swflash.cab

O16 - DPF: {D4323BF2-006A-4440-A2F5-27E3E7AB25F8} (Virtools WebPlayer Class) - http://3dlifeplayer.dl.3dvia.com/player/in...l/installer.exe

O16 - DPF: {D77EF652-9A6B-40C8-A4B9-1C0697C6CF41} (TikGames Online Control) - http://www.msnjeux.com/online2/MSN_INTL_FR...shapo/shapo.cab

O16 - DPF: {DC75FEF6-165D-4D25-A518-C8C4BDA7BAA6} (CPlayFirstDinerDashControl Object) - http://msnfr.oberon-media.com/online2/MSN_...sh.1.0.0.80.cab

O16 - DPF: {E1342154-4889-42B5-BEF6-19237577048F} (OberongamesLoader Object) - http://msnfr.oberon-media.com/online2/MSN_...gamesloader.cab

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\\PROGRAM FILES\AHEAD\InCD\InCDsrv.exe

O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

--

End of file - 9107 bytes

Pouvez vous me dire comment retrouver cet analyseur ? Est il fiable ? Merci d'avance

Searhboy

Modifié le 6 avril 2008 par searchboy

styx · le 24 mars 2008

Salut searchboy

Télécharge lopxpMH2 :

http://www.alt-shift-return.org/Info/Fichiers/lopxpMH2.zip

Enregistrer la cible ci-dessus (du lien) sous... et enregistre-le sur

ton bureau.

Dézippe-le (clic droit >> Extraire ici) et double clique sur lopxpMH.bat

(ou lopxpMH2).

Poste le contenu du rapport qui va s'ouvrir.

searchboy · le 24 mars 2008

Salut searchboy

Télécharge lopxpMH2 :

http://www.alt-shift-return.org/Info/Fichiers/lopxpMH2.zip

Enregistrer la cible ci-dessus (du lien) sous... et enregistre-le sur

ton bureau.

Dézippe-le (clic droit >> Extraire ici) et double clique sur lopxpMH.bat

(ou lopxpMH2).

Poste le contenu du rapport qui va s'ouvrir.

Merci de répondre si vite STYX !

voici le rapport que tu demandes:

Rapport lopxpMH2 version 2.0 fait à 18:13:29,82 le 24/03/2008

C:\Documents and Settings\Francis\Bureau\lopxpMH2\lopxpMH2

******************************************

## Répertoires Application Data

Le volume dans le lecteur C n'a pas de nom.

Le numéro de série du volume est 2C62-69FE

Répertoire de C:\Documents and Settings\All Users\Application Data

06/08/2006 20:54 <REP> .

06/08/2006 20:54 <REP> ..

13/08/2006 12:54 <REP> Adobe

11/10/2007 18:48 <REP> Apple

16/08/2006 10:39 <REP> Apple Computer

22/03/2008 08:41 <REP> Avira

19/08/2006 07:40 <REP> Dell Photo Printer 720

21/12/2007 19:00 <REP> flag ace stupid data

01/03/2008 12:20 <REP> Go Go Gourmet

26/09/2006 18:08 <REP> Google

13/08/2006 15:57 <REP> Messenger Plus!

06/08/2006 20:54 <REP> Microsoft

07/01/2007 16:02 <REP> MSN6

17/12/2006 12:50 <REP> MumboJumbo

19/06/2007 14:24 <REP> NannyMania

12/01/2008 14:00 <REP> Oberon Games

17/12/2006 12:17 <REP> Oberongames

06/12/2006 16:33 <REP> PlayFirst

14/01/2007 13:23 <REP> Sandlot Games

14/01/2007 12:36 <REP> TEMP

12/08/2006 09:56 <REP> Windows Genuine Advantage

04/07/2007 17:25 <REP> WindowsLiveInstaller

04/07/2007 17:24 <REP> WLInstaller

06/01/2008 14:18 <REP> Zylom

22/03/2008 08:44 305 addr_file.html

06/08/2006 20:54 62 desktop.ini

01/11/2006 13:35 2 917 QTSBandwidthCache

3 fichier(s) 3 284 octets

24 Rép(s) 4 329 271 296 octets libres

Le volume dans le lecteur C n'a pas de nom.

Le numéro de série du volume est 2C62-69FE

Répertoire de C:\Documents and Settings\Amélie\Application Data

08/08/2006 15:04 <REP> .

08/08/2006 15:04 <REP> ..

15/08/2006 17:41 <REP> Adobe

15/08/2006 17:41 <REP> AdobeUM

19/05/2007 11:48 <REP> Alawar

01/11/2006 13:35 <REP> Apple Computer

21/12/2007 19:00 <REP> bait third ball

28/04/2007 09:19 <REP> Chicken Chase

14/12/2006 17:05 <REP> Gaijin Ent

27/09/2006 14:23 <REP> Google

08/08/2006 15:05 <REP> Identities

08/08/2006 15:07 <REP> Macromedia

08/08/2006 15:04 <REP> Microsoft

02/12/2007 10:16 <REP> Mozilla

07/01/2007 16:02 <REP> MSN6

26/05/2007 16:31 <REP> MysteryStudio

06/12/2006 16:33 <REP> PlayFirst

31/08/2007 14:24 <REP> Sandlot Games

02/09/2007 15:09 <REP> ScreenSeven

10/08/2006 16:49 <REP> Skype

11/07/2007 15:14 <REP> Wildfire

08/08/2006 15:04 62 desktop.ini

07/01/2007 14:56 25 056 GDIPFONTCACHEV1.DAT

2 fichier(s) 25 118 octets

21 Rép(s) 4 329 271 296 octets libres

Le volume dans le lecteur C n'a pas de nom.

Le numéro de série du volume est 2C62-69FE

Répertoire de C:\Documents and Settings\Amélie\Local Settings\Application Data

08/08/2006 15:04 <REP> .

08/08/2006 15:04 <REP> ..

15/08/2006 17:41 <REP> Adobe

16/01/2008 15:08 <REP> Apple

01/11/2006 13:35 <REP> Apple Computer

27/09/2006 14:23 <REP> Google

15/09/2006 17:02 <REP> Identities

08/08/2006 15:04 <REP> Microsoft

02/12/2007 10:16 <REP> Mozilla

05/05/2007 13:10 <REP> Oberon Games

14/10/2006 13:00 4 608 DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini

11/08/2006 18:16 25 056 GDIPFONTCACHEV1.DAT

08/08/2006 21:45 4 845 220 IconCache.db

3 fichier(s) 4 874 884 octets

10 Rép(s) 4 329 271 296 octets libres

Le volume dans le lecteur C n'a pas de nom.

Le numéro de série du volume est 2C62-69FE

Répertoire de C:\Documents and Settings\Clara

Le volume dans le lecteur C n'a pas de nom.

Le numéro de série du volume est 2C62-69FE

Répertoire de C:\Documents and Settings\Default User\Application Data

06/08/2006 20:54 <REP> .

06/08/2006 20:54 <REP> ..

06/08/2006 20:54 <REP> Microsoft

06/08/2006 20:54 62 desktop.ini

1 fichier(s) 62 octets

3 Rép(s) 4 329 193 472 octets libres

Le volume dans le lecteur C n'a pas de nom.

Le numéro de série du volume est 2C62-69FE

Répertoire de C:\Documents and Settings\Default User\Local Settings\Application Data

06/08/2006 20:54 <REP> .

06/08/2006 20:54 <REP> ..

0 fichier(s) 0 octets

2 Rép(s) 4 329 193 472 octets libres

Le volume dans le lecteur C n'a pas de nom.

Le numéro de série du volume est 2C62-69FE

Répertoire de C:\Documents and Settings\Francis\Application Data

07/08/2006 17:36 <REP> .

07/08/2006 17:36 <REP> ..

19/08/2006 07:54 <REP> Adobe

01/12/2006 22:03 <REP> AdobeAUM

19/08/2006 07:54 <REP> AdobeUM

26/12/2006 15:46 <REP> Apple Computer

24/12/2007 12:46 <REP> bait third ball

12/08/2006 21:53 <REP> Creative

27/09/2006 18:57 <REP> Google

07/08/2006 17:36 <REP> Identities

01/12/2006 22:03 <REP> Leadertech

07/08/2006 18:52 <REP> Macromedia

07/08/2006 17:36 <REP> Microsoft

20/01/2008 18:01 <REP> Mozilla

07/08/2006 17:48 <REP> Skype

16/03/2008 12:52 <REP> Spybot - Search & Destroy

22/03/2008 15:15 <REP> Sun

07/08/2006 17:36 62 desktop.ini

11/12/2006 22:15 25 056 GDIPFONTCACHEV1.DAT

2 fichier(s) 25 118 octets

17 Rép(s) 4 329 193 472 octets libres

Le volume dans le lecteur C n'a pas de nom.

Le numéro de série du volume est 2C62-69FE

Répertoire de C:\Documents and Settings\Francis\Local Settings\Application Data

07/08/2006 17:36 <REP> .

07/08/2006 17:36 <REP> ..

19/08/2006 07:54 <REP> Adobe

03/01/2007 17:44 <REP> Ahead

26/12/2006 15:47 <REP> Apple Computer

27/09/2006 18:57 <REP> Google

02/09/2006 12:52 <REP> Identities

07/08/2006 17:36 <REP> Microsoft

20/01/2008 18:01 <REP> Mozilla

03/01/2007 17:53 <REP> WMTools Downloaded Files

11/08/2006 08:46 20 992 DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini

14/08/2006 12:25 25 056 GDIPFONTCACHEV1.DAT

07/08/2006 18:22 5 364 182 IconCache.db

3 fichier(s) 5 410 230 octets

10 Rép(s) 4 329 193 472 octets libres

Le volume dans le lecteur C n'a pas de nom.

Le numéro de série du volume est 2C62-69FE

Répertoire de C:\Documents and Settings\LocalService\Application Data

06/08/2006 20:09 <REP> .

06/08/2006 20:09 <REP> ..

15/10/2006 10:29 <REP> Google

12/11/2006 15:56 <REP> Help

06/08/2006 20:09 <REP> Microsoft

0 fichier(s) 0 octets

5 Rép(s) 4 329 193 472 octets libres

Le volume dans le lecteur C n'a pas de nom.

Le numéro de série du volume est 2C62-69FE

Répertoire de C:\Documents and Settings\LocalService\Local Settings\Application Data

06/08/2006 20:09 <REP> .

06/08/2006 20:09 <REP> ..

07/09/2007 08:30 <REP> Adobe

15/10/2006 10:40 <REP> Google

12/11/2006 15:56 <REP> Help

06/08/2006 20:09 <REP> Microsoft

0 fichier(s) 0 octets

6 Rép(s) 4 329 193 472 octets libres

Le volume dans le lecteur C n'a pas de nom.

Le numéro de série du volume est 2C62-69FE

Répertoire de C:\Documents and Settings\Marjorie\Application Data

06/08/2006 20:10 <REP> .

06/08/2006 20:10 <REP> ..

07/02/2007 18:39 <REP> Adobe

07/02/2007 18:40 <REP> AdobeUM

05/04/2007 07:48 <REP> Apple Computer

03/02/2008 17:37 <REP> bait third ball

10/01/2007 21:28 <REP> Google

06/09/2007 12:50 <REP> Help

06/08/2006 20:10 <REP> Identities

07/08/2006 18:12 <REP> Macromedia

06/08/2006 20:10 <REP> Microsoft

24/12/2007 09:18 <REP> Mozilla

07/08/2006 10:05 <REP> Skype

15/03/2008 18:44 <REP> Spybot - Search & Destroy

06/08/2006 20:10 62 desktop.ini

02/09/2007 12:02 25 056 GDIPFONTCACHEV1.DAT

2 fichier(s) 25 118 octets

14 Rép(s) 4 329 193 472 octets libres

Le volume dans le lecteur C n'a pas de nom.

Le numéro de série du volume est 2C62-69FE

Répertoire de C:\Documents and Settings\Marjorie\Local Settings\Application Data

06/08/2006 20:10 <REP> .

06/08/2006 20:10 <REP> ..

07/02/2007 18:39 <REP> Adobe

05/04/2007 07:48 <REP> Apple Computer

10/01/2007 21:28 <REP> Google

06/09/2007 12:50 <REP> Help

15/03/2008 12:56 <REP> Identities

06/08/2006 20:10 <REP> Microsoft

24/12/2007 09:18 <REP> Mozilla

25/02/2007 12:04 5 120 DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini

10/01/2007 15:43 25 056 GDIPFONTCACHEV1.DAT

14/02/2007 21:49 4 309 248 IconCache.db

3 fichier(s) 4 339 424 octets

9 Rép(s) 4 329 193 472 octets libres

Le volume dans le lecteur C n'a pas de nom.

Le numéro de série du volume est 2C62-69FE

Répertoire de C:\Documents and Settings\NetworkService\Application Data

06/08/2006 20:09 <REP> .

06/08/2006 20:09 <REP> ..

06/08/2006 20:09 <REP> Microsoft

0 fichier(s) 0 octets

3 Rép(s) 4 329 193 472 octets libres

Le volume dans le lecteur C n'a pas de nom.

Le numéro de série du volume est 2C62-69FE

Répertoire de C:\Documents and Settings\NetworkService\Local Settings\Application Data

06/08/2006 20:09 <REP> .

06/08/2006 20:09 <REP> ..

17/10/2007 14:08 <REP> Apple

06/08/2006 20:09 <REP> Microsoft

0 fichier(s) 0 octets

4 Rép(s) 4 329 193 472 octets libres

Le volume dans le lecteur C n'a pas de nom.

Le numéro de série du volume est 2C62-69FE

Répertoire de C:\WINDOWS\system32\config\systemprofile\Application Data

06/08/2006 20:07 <REP> .

06/08/2006 20:07 <REP> ..

06/08/2006 20:07 <REP> Microsoft

06/08/2006 20:07 62 desktop.ini

1 fichier(s) 62 octets

3 Rép(s) 4 329 193 472 octets libres

Le volume dans le lecteur C n'a pas de nom.

Le numéro de série du volume est 2C62-69FE

Répertoire de C:\WINDOWS\system32\config\systemprofile\Local Settings\Application Data

06/08/2006 20:07 <REP> .

06/08/2006 20:07 <REP> ..

15/10/2006 10:29 <REP> Google

26/08/2006 14:31 <REP> Microsoft

0 fichier(s) 0 octets

4 Rép(s) 4 329 193 472 octets libres

******************************************

Recherche des taches planifiées dans C:\WINDOWS\tasks

C:\WINDOWS\Tasks\A4AA4FFD91EDCE59.job

s "ˆ!Ø 5 c : \ d o c u m e ~ 1 \ a m l i e ~ 1 \ a p p l i c ~ 1 \ b a i t t h ~ 1 \ G l u e v c f i v e . e x e A m é l i e € 0 Ñ

C:\WINDOWS\Tasks\AFA0A977915F5B43.job

s "€!Ø m 5 c : \ d o c u m e ~ 1 \ f r a n c i s \ a p p l i c ~ 1 \ b a i t t h ~ 1 \ G l u e v c f i v e . e x e F r a n c i s 0 Ï <

C:\WINDOWS\Tasks\AppleSoftwareUpdate.job

†:fLwldAš?«d+3×F ê <

s €!Ø : C : \ P r o g r a m F i l e s \ A p p l e S o f t w a r e U p d a t e \ S o f t w a r e U p d a t e . e x e - t a s k S Y S T E M 0 ×

******************************************

## Répertoires de C:\Program Files

Le volume dans le lecteur C n'a pas de nom.

Le numéro de série du volume est 2C62-69FE

Répertoire de C:\Program Files

22/03/2008 14:55 <REP> .

22/03/2008 14:55 <REP> ..

27/10/2007 17:08 <REP> Adobe

04/03/2007 12:07 <REP> AHEAD

15/03/2008 13:03 <REP> Alwil Software

07/08/2006 18:18 <REP> Analog Devices

11/10/2007 18:49 <REP> Apple Software Update

11/02/2007 18:25 47 104 ATF-Cleaner.exe

22/03/2008 08:41 <REP> Avira

11/08/2006 18:01 <REP> Creative

19/08/2006 07:40 <REP> Dell Photo Printer 720

19/02/2007 19:06 <REP> e-Carte Bleue

29/02/2008 18:50 <REP> Fichiers communs

23/03/2007 17:33 <REP> Google

02/09/2007 10:45 706 008 installer-46013-845-CCleaner-French.exe

13/02/2008 15:10 <REP> Internet Explorer

07/09/2007 15:03 <REP> Interplay

27/02/2008 19:54 <REP> iPod

16/12/2007 13:18 <REP> Java

20/05/2007 13:52 <REP> Micro Application

06/08/2006 20:05 <REP> microsoft frontpage

19/02/2007 18:50 <REP> Microsoft Office

09/12/2006 20:20 <REP> Movie Maker

24/03/2008 18:08 <REP> Mozilla Firefox

04/03/2008 15:59 <REP> MSN Games

06/08/2006 20:01 <REP> MSN Gaming Zone

29/02/2008 18:55 <REP> MSN Messenger

26/08/2006 14:20 <REP> NetMeeting

13/06/2007 14:04 <REP> Outlook Express

05/01/2008 20:19 <REP> PTMKiDS

08/03/2008 22:09 <REP> QuickTime

06/08/2006 20:04 <REP> Services en ligne

15/03/2008 11:38 <REP> Trend Micro

25/07/2007 17:25 <REP> Virtools

04/07/2007 17:25 <REP> Windows Live

02/05/2007 19:37 <REP> Windows Media Connect 2

02/05/2007 20:48 <REP> Windows Media Player

26/08/2006 14:20 <REP> Windows NT

06/08/2006 20:05 <REP> xerox

2 fichier(s) 753 112 octets

37 Rép(s) 4 328 984 576 octets libres

******************************************

## Popups autorisées

* Internet Explorer

! REG.EXE VERSION 3.0

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\New Windows\Allow

host-domain-lookup.com REG_SZ

www.host-domain-lookup.com REG_SZ

searchweb2.com REG_SZ

www.searchweb2.com REG_SZ

* Mozilla Firefox (1 autorisé 2 interdit)

******************************************

## Registre

* [HKEY_CURRENT_USER\\Software\Microsoft\Internet Explorer\Main]

Search Bar REG_SZ http://www.google.com/ie

* [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

Stupid Data Dart Wave REG_SZ C:\Documents and Settings\All Users\Application Data\flag ace stupid data\ONE PILE.exe

* [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

army data REG_SZ C:\DOCUME~1\Francis\APPLIC~1\BAITTH~1\For Camp.exe

******************************************

## Zones de sécurité

* HKCU Domains (4)

* P3P History (5)

******************************************

## Recherche C:\WINDOWS\*.htm, "C:\WINDOWS\*.gif"

*************** Fin du rapport ****************

J'ai rêvé pour l'analyseur automatique ? Il y a bien un tutoriel sur HijackThis ? Enfin merci pour le coup de main ( j'ai reconnu dans le rapport ci-dessus bait Third ball qui est un des trojan que j'ai mis en quarantaine.

@+ j'espère

styx · le 25 mars 2008

Salut searchboy

Note comment démarrer le PC en mode sans échec …

(méthode F8 de préférence)

Tu vas t’ en servir de l’ étape 3 à 7 (ou tu n' auras pas accès à Internet)

1/ Télécharge CCleaner

("Download Latest Version", sur la droite).

Ce logiciel va permettre de supprimer tous les fichiers temporaires.

Avant de cliquer sur le bouton "Installer", décoche toutes les "options supplémentaires".

Puis, clique sur "Options", "Avancé" et décoche la case "Effacer uniquement les fichiers,

du dossier Temp de Windows, plus vieux que 48 heures".

Par la suite, laisse-le avec ses réglages par défaut. C'est tout.

2/ Crée un nouveau document texte :

Clic droit de souris sur le bureau, "Nouveau"> "Document Texte".

Ouvre-le et copie-colle dedans ce qui est en citation ci-dessous

(copie tout d'un trait) :

REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Stupid Data Dart Wave"=-

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"army data"=-

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\New Windows\Allow]

"dns-look-up.com"=-

"www.dns-look-up.com"=-

"searchweb2.com"=-

"mysearchnow.com"=-

"www.mysearchnow.com"=-

"www.searchweb2.com"=-

"lop.com"=-

"www.lop.com"=-

"searchbee.net"=-

"www.searchbee.net"=-

"netsearchsoft.com"=-

"www.netsearchsoft.com"=-

"netbios-wait.com"=-

"www.netbios-wait.com"=-

Puis "fichier"/"enregistrer sous" :

dans : sur le bureau

Nom du fichier : reglop.reg

Type de fichier : "tous les fichiers"

clique sur "enregistrer"

L'icône de reglop.reg doit ressembler à -->

***A présent, copie ce qui suit dans un fichier texte et redémarre en mode sans échec

(choisis ta session habituelle, pas le compte "Administrateur" ou autre)***

3/ Assures-toi d'avoir accès aux dossiers/fichiers cachés :

Ouvrir un dossier ; n'importe lequel. Aller dans :

Outils > Options des dossiers > Affichage et,

- cocher "Afficher les dossiers et fichiers cachés" ;

- décocher "Masquer les extensions des fichiers dont le type est connu" ;

- décocher "Masquer les fichiers protégés du système d'exploitation (recommandé)"

"Appliquer" et "Ok"

4/ Recherche et supprime ces dossiers ou fichiers en gras, si tu les trouves :

C:\Documents and Settings\All Users\Application Data\flag ace stupid data

C:\Documents and Settings\Francis\Application Data\bait third ball

C:\Documents and Settings\Marjorie\Application Data\bait third ball

C:\Documents and Settings\Amélie\Application Data\bait third ball

5/ Menu Démarrer/Exécuter…, tape cmd et valide par "Entrée".

Copie-colle la ligne en citation, ci-dessous, dans la fenêtre noire qui s'ouvre :

del /a C:\WINDOWS\Tasks\A4AA4FFD91EDCE59.job

Valide par "Entrée", puis ferme la fenêtre de commande.

Fais de même pour C:\WINDOWS\Tasks\AFA0A977915F5B43.job

6/ Double-clique sur reglop.reg => tu dois obligatoirement avoir un message

"Voulez-vous vraiment ajouter les infos contenues dans ce fichier .reg au registre ?"

Si c'est bien le cas, clique sur "Oui".

7/ Lance Ccleaner : "Nettoyeur"/"lancer le nettoyage" et c'est tout.

8/ Redémarre normalement et poste …

un nouveau rapport HijackThis, toutes fenêtres et applications fermées.

Précise les difficultés que tu as eu (ce que tu n'as pas pu faire...)

ainsi que l'évolution de la situation.

searchboy · le 25 mars 2008

Salut searchboy

Note comment démarrer le PC en mode sans échec …

(méthode F8 de préférence)

Tu vas t’ en servir de l’ étape 3 à 7 (ou tu n' auras pas accès à Internet)

1/ Télécharge CCleaner

("Download Latest Version", sur la droite).

Ce logiciel va permettre de supprimer tous les fichiers temporaires.

Avant de cliquer sur le bouton "Installer", décoche toutes les "options supplémentaires".

Puis, clique sur "Options", "Avancé" et décoche la case "Effacer uniquement les fichiers,

du dossier Temp de Windows, plus vieux que 48 heures".

Par la suite, laisse-le avec ses réglages par défaut. C'est tout.

2/ Crée un nouveau document texte :

Clic droit de souris sur le bureau, "Nouveau"> "Document Texte".

Ouvre-le et copie-colle dedans ce qui est en citation ci-dessous

(copie tout d'un trait) :

Puis "fichier"/"enregistrer sous" :

dans : sur le bureau

Nom du fichier : reglop.reg

Type de fichier : "tous les fichiers"

clique sur "enregistrer"

L'icône de reglop.reg doit ressembler à -->

***A présent, copie ce qui suit dans un fichier texte et redémarre en mode sans échec

(choisis ta session habituelle, pas le compte "Administrateur" ou autre)***

3/ Assures-toi d'avoir accès aux dossiers/fichiers cachés :

Ouvrir un dossier ; n'importe lequel. Aller dans :

Outils > Options des dossiers > Affichage et,

- cocher "Afficher les dossiers et fichiers cachés" ;

- décocher "Masquer les extensions des fichiers dont le type est connu" ;

- décocher "Masquer les fichiers protégés du système d'exploitation (recommandé)"

"Appliquer" et "Ok"

4/ Recherche et supprime ces dossiers ou fichiers en gras, si tu les trouves :

C:\Documents and Settings\All Users\Application Data\flag ace stupid data

C:\Documents and Settings\Francis\Application Data\bait third ball

C:\Documents and Settings\Marjorie\Application Data\bait third ball

C:\Documents and Settings\Amélie\Application Data\bait third ball

5/ Menu Démarrer/Exécuter…, tape cmd et valide par "Entrée".

Copie-colle la ligne en citation, ci-dessous, dans la fenêtre noire qui s'ouvre :

Valide par "Entrée", puis ferme la fenêtre de commande.

Fais de même pour C:\WINDOWS\Tasks\AFA0A977915F5B43.job

6/ Double-clique sur reglop.reg => tu dois obligatoirement avoir un message

"Voulez-vous vraiment ajouter les infos contenues dans ce fichier .reg au registre ?"

Si c'est bien le cas, clique sur "Oui".

7/ Lance Ccleaner : "Nettoyeur"/"lancer le nettoyage" et c'est tout.

8/ Redémarre normalement et poste …

un nouveau rapport HijackThis, toutes fenêtres et applications fermées.

Précise les difficultés que tu as eu (ce que tu n'as pas pu faire...)

ainsi que l'évolution de la situation.

Hello STYX !

Avant tout Merci indéfiniment pour ton aide ! Et Nom di Diou quel beau protocole ! ça décoiffe le béotien que je suis. C'est tellement bien expliqué et de toute façon je n'ai rien à perdre. Je préfère te remercier maintenant avant de passer dans le mode sans echec. J'ai créé sur le bureau le fichier .reg et ça c'est passé comme tu dis. J'ai téléchargé CCcleaner, mais il mentione de fermer toutes les applis, avant de nettoyer et je vais supposer que le navigateur en est une. Donc à bientôt pour le compte rendu de cette belle manip et encore merci.

searchboy · le 25 mars 2008

Hello STYX !
Avant tout Merci indéfiniment pour ton aide ! Et Nom di Diou quel beau protocole ! ça décoiffe le béotien que je suis. C'est tellement bien expliqué et de toute façon je n'ai rien à perdre. Je préfère te remercier maintenant avant de passer dans le mode sans echec. J'ai créé sur le bureau le fichier .reg et ça c'est passé comme tu dis. J'ai téléchargé CCcleaner, mais il mentione de fermer toutes les applis, avant de nettoyer et je vais supposer que le navigateur en est une. Donc à bientôt pour le compte rendu de cette belle manip et encore merci.

mercredi 26/03 00h40 :

Bonjour STYX,

J'ai fait suivant ton protocole. Tout s'est déroulé comme prévu SAUF la phase 5 : la 1ere ligne citation, collée dans l'arborescence du cmd sans remonter à la racinedu C:\. Le système a répondu que le A4AA4FF--.job impossible à trouver. J'ai réessayer en me souvenant de mes bribes de DOS en me mettant à la racine de C\ : même message après l'appui sur la touche "entrée".

Pour la deuxième ligne , collée à la racine du C:\, le système répond par une boite de dialogue dans ce cas que windows ne peut pas ouvrir ce fichier car il doit connaître le programme utilisé pour sa création et propose une recherche en ligne ou dans une liste de programme ( 2 boutons à cocher) ! j'ai abandonné là sans rien faire de plus.

Sinon tout le reste OK : j'ai trouvé et viré les 4 fichiers que tu avais parfaitement identifié. Voici le rapport de HIJACKTHIS :

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 00:27:39, on 26/03/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\LEXPPS.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\WINDOWS\System32\cisvc.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\system32\spupdsvc.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spnpinst.exe

C:\WINDOWS\system32\Sysocmgr.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\RunDLL32.exe

C:\Program Files\e-Carte Bleue\LCL\e-Carte Bleue VISA Cleo\ECB-CLEO.exe

C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe

E:\iTunesHelper.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\WINDOWS\system32\wuauclt.exe