[résolu] Fenêtres intempestives et fausses fenêtres Google

stadeverois · le 31 mars 2008

Bonjour,

Depuis quelques jours je suis infesté par des fenêtres publicitaires intempestives, fausses alertes, demandes d'installation de remèdes antivirus, antiver etc... et même par de fausses fenêtres "Google" qui s'ouvrent toutes seules. L'affichage écran est google mais la barre de titre affiche "http://www.day-time-search.org/search.php" et une Active X est bloquée en attente d'installation (que je n'accepte pas bien sûr).

J'ai fais des recherches et ai trouvé différentes solutions sur des forums mais rien n'y fait.

Ainsi j'ai déjà utilsé CCleaner, Navipromo, BFU, Smitfraudfix et Combofix. Toutes les procédures indiquées sur les forums ont été scrupuleusement respectées (mode sans échec etc...)

Seul Combofix a apporté une légère amélioration mais le phénomène "google" continue. Même sans utiliser IE7 j'entend le bruit du bloqueur de pop-up qui fonctionne de temps à autre...

Le problème est assez curieux car je peux parfois surfer plusieurs minutes sans problèmes avant que subitement 1 ou 2 fenêtres s'ouvrent.

J'ai même installé IE_SPYADS_ZO trouvé sur un lien de ce forum mais cela n'aide pas davantage.

Mes antivirus + firewall sont MCAfee VirusscanPlus 2008 et tout est à jour.

Je vous livre le rapport obtenu avec HijackThis 2.0.2

En espérant que vous voudrez bien me venir en aide.

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 15:30:50, on 31/03/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16608)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Bonjour\mDNSResponder.exe

C:\WINDOWS\system32\crypserv.exe

C:\Program Files\Diskeeper Corporation\Diskeeper\DkService.exe

C:\WINDOWS\System32\svchost.exe

C:\PROGRA~1\McAfee\MSC\mcmscsvc.exe

c:\program files\fichiers communs\mcafee\mna\mcnasvc.exe

c:\PROGRA~1\FICHIE~1\mcafee\mcproxy\mcproxy.exe

C:\PROGRA~1\McAfee\VIRUSS~1\mcshield.exe

C:\Program Files\McAfee\MPF\MPFSrv.exe

C:\WINDOWS\system32\PSIService.exe

c:\Program Files\Fichiers communs\Protexis\License Service\PsiService_2.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe

C:\WINDOWS\system32\WFXSVC.EXE

C:\Program Files\DelFax\WFXMOD32.EXE

C:\WINDOWS\system32\svchost.exe

C:\Program Files\ADSL Autoconnect\ADSL Autoconnect.exe

C:\PROGRA~1\McAfee.com\Agent\mcagent.exe

C:\WINDOWS\system32\GSICON.EXE

C:\WINDOWS\system32\dslagent.exe

C:\PROGRA~1\DelFax\WFXSWTCH.exe

C:\WINDOWS\system32\wfxsnt40.exe

C:\WINDOWS\system32\igfxtray.exe

C:\WINDOWS\system32\hkcmd.exe

C:\WINDOWS\system32\igfxpers.exe

C:\Program Files\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe

C:\Program Files\Microsoft IntelliPoint\ipoint.exe

C:\Program Files\QuickStarTime\qttask.exe

C:\Program Files\Atomic Alarm Clock\AtomicAlarmClock.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Windows Live\Messenger\msnmsgr.exe

C:\Program Files\Art Plus\Wallpaper5\wallpaper.exe

C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

C:\WINDOWS\explorer.exe

C:\Program Files\Windows Live\Messenger\usnsvc.exe

C:\PROGRA~1\McAfee\VIRUSS~1\mcsysmon.exe

C:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE

C:\Program Files\Totalcmd\TOTALCMD.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {2B0B59B4-55A3-4737-9FD5-B93C6430BF75} - C:\WINDOWS\system32\gtgeswhj.dll

O2 - BHO: XBTP02546 - {326012CB-D3FF-4b39-B052-6F5CE6FBB59F} - C:\PROGRA~1\SOFTOM~1\TOOLBA~1\INSTAL~1\{C49DD~1\0\STADE_~1.DLL

O2 - BHO: scriptproxy - {7DB2D5A0-7241-4E79-B68D-6309F01C5231} - c:\PROGRA~1\mcafee\VIRUSS~1\scriptsn.dll

O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll

O4 - HKLM\..\Run: [GSICONEXE] GSICON.EXE

O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe USB

O4 - HKLM\..\Run: [WFXSwtch] C:\PROGRA~1\DelFax\WFXSWTCH.exe

O4 - HKLM\..\Run: [WinFaxAppPortStarter] wfxsnt40.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Fichiers communs\Nero\Lib\NeroCheck.exe

O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe

O4 - HKLM\..\Run: [Acrobat Assistant 8.0] "C:\Program Files\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe"

O4 - HKLM\..\Run: [mcagent_exe] C:\Program Files\McAfee.com\Agent\mcagent.exe /runkey

O4 - HKLM\..\Run: [intelliPoint] "C:\Program Files\Microsoft IntelliPoint\ipoint.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickStarTime\qttask.exe" -atboottime

O4 - HKCU\..\Run: [skinClock] C:\Program Files\Atomic Alarm Clock\AtomicAlarmClock.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [Art Plus Wallpaper Calendar] "C:\Program Files\Art Plus\Wallpaper5\wallpaper.exe" /a

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O8 - Extra context menu item: Ajouter au fichier PDF existant - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir en Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir la cible du lien en Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir la cible du lien en un fichier PDF existant - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir la sélection en Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convertir la sélection en un fichier PDF existant - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convertir les liens sélectionnés en fichier Adobe PDF - res://c:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

O8 - Extra context menu item: Convertir les liens sélectionnés en un fichier PDF existant - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000

O8 - Extra context menu item: Sothink SWF Catcher - C:\Program Files\Fichiers communs\SourceTec\SWF Catcher\InternetExplorer.htm

O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll

O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL

O9 - Extra button: Sothink SWF Catcher - {E19ADC6E-3909-43E4-9A89-B7B676377EE3} - C:\Program Files\Fichiers communs\SourceTec\SWF Catcher\InternetExplorer.htm

O9 - Extra 'Tools' menuitem: Sothink SWF Catcher - {E19ADC6E-3909-43E4-9A89-B7B676377EE3} - C:\Program Files\Fichiers communs\SourceTec\SWF Catcher\InternetExplorer.htm

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/200404...meInstaller.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{B1518559-8E6B-488A-8D33-9DA479B2B33D}: NameServer = 195.238.2.22 195.238.2.21

O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe

O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: ADSLAutoconnect - Unknown owner - C:\Program Files\ADSL Autoconnect\ADSL Autoconnect.exe

O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe

O23 - Service: Crypkey License - Kenonic Controls Ltd. - C:\WINDOWS\SYSTEM32\crypserv.exe

O23 - Service: Diskeeper - Diskeeper Corporation - C:\Program Files\Diskeeper Corporation\Diskeeper\DkService.exe

O23 - Service: McAfee Desktop Firewall Service (FireSvc) - Networks Associates Technology, Inc. - (no file)

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: Service Framework McAfee (McAfeeFramework) - Pinnacle Systems GmbH - (no file)

O23 - Service: McAfee Services (mcmscsvc) - McAfee, Inc. - C:\PROGRA~1\McAfee\MSC\mcmscsvc.exe

O23 - Service: McAfee Network Agent (McNASvc) - McAfee, Inc. - c:\program files\fichiers communs\mcafee\mna\mcnasvc.exe

O23 - Service: McAfee Scanner (McODS) - McAfee, Inc. - C:\PROGRA~1\McAfee\VIRUSS~1\mcods.exe

O23 - Service: McAfee Proxy Service (McProxy) - McAfee, Inc. - c:\PROGRA~1\FICHIE~1\mcafee\mcproxy\mcproxy.exe

O23 - Service: McAfee Real-time Scanner (McShield) - McAfee, Inc. - C:\PROGRA~1\McAfee\VIRUSS~1\mcshield.exe

O23 - Service: McAfee SystemGuards (McSysmon) - McAfee, Inc. - C:\PROGRA~1\McAfee\VIRUSS~1\mcsysmon.exe

O23 - Service: McAfee Personal Firewall Service (MpfService) - McAfee, Inc. - C:\Program Files\McAfee\MPF\MPFSrv.exe

O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Fichiers communs\Nero\Lib\NMIndexingService.exe

O23 - Service: ProtexisLicensing - Unknown owner - C:\WINDOWS\system32\PSIService.exe

O23 - Service: Protexis Licensing V2 (PSI_SVC_2) - Protexis Inc. - c:\Program Files\Fichiers communs\Protexis\License Service\PsiService_2.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe

O23 - Service: DelrinaFax PRO (wfxsvc) - Symantec Corporation - C:\WINDOWS\system32\WFXSVC.EXE

--

End of file - 11059 bytes

Modifié le 7 avril 2008 par stadeverois

pear · le 31 mars 2008

Bonjour,

Seul Combofix a apporté une légère amélioration mais le phénomène "google"

Vous pourriez en poster les rapports , svp ?

stadeverois · le 1 avril 2008

Le voici

ComboFix 08-03-30.3 - mvh 2008-03-31 13:19:00.1 - NTFSx86

Microsoft Windows XP Professionnel 5.1.2600.2.1252.33.1036.18.762 [GMT 2:00]

Endroit: C:\Documents and Settings\mvh\Bureau\ComboFix.exe

* Création d'un nouveau point de restauration

* Resident AV is active

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

C:\Program Files\Temporary

C:\WINDOWS\BMc3f36de5.xml

C:\WINDOWS\pskt.ini

C:\WINDOWS\system32\awtsp.dll

C:\WINDOWS\system32\dbxDgrevCheck.dll

C:\WINDOWS\system32\kbwfkqgc.dll

C:\WINDOWS\system32\kjjxcikk.dll

C:\WINDOWS\system32\nanwtjdq.dll

C:\WINDOWS\system32\nphobnkx.ini

C:\WINDOWS\system32\pstwa.ini

C:\WINDOWS\system32\pstwa.ini2

C:\WINDOWS\system32\qomnnli.dll

C:\WINDOWS\system32\qvbyijby.dll

C:\WINDOWS\system32\uqhatjao.dll

C:\WINDOWS\system32\xknbohpn.dll

.

((((((((((((((((((((((((((((( Fichiers cr‚‚s 2008-02-28 to 2008-03-31 ))))))))))))))))))))))))))))))))))))

.

2008-03-31 13:07 . 2008-03-31 13:07 <REP> d-------- C:\Program Files\Trend Micro

2008-03-31 12:03 . 2008-03-31 12:12 <REP> d-------- C:\Program Files\RogueRemover PRO

2008-03-31 12:03 . 2008-03-31 12:03 2,015 -r-h----- C:\WINDOWS\system32\drivers\hosts

2008-03-31 10:59 . 2008-03-31 10:59 <REP> d-------- C:\WINDOWS\system32\bfubackups

2008-03-31 10:56 . 2008-03-31 10:56 <REP> d-------- C:\Navipromo

2008-03-28 15:33 . 2008-03-28 15:33 <REP> d-------- C:\Program Files\CCleaner

2008-03-28 13:36 . 2008-03-31 09:21 1,583,017 ---hs---- C:\WINDOWS\system32\ioidwypt.ini

2008-03-28 13:32 . 2008-03-28 13:32 54,336 --a------ C:\WINDOWS\system32\gtgeswhj.dll

2008-03-28 12:25 . 2008-03-31 11:08 2,778 --a------ C:\WINDOWS\system32\tmp.reg

2008-03-27 13:24 . 2008-03-27 13:43 1,583,175 ---hs---- C:\WINDOWS\system32\efmuhnnf.ini

2008-03-18 12:53 . 2008-03-18 12:53 <REP> d--hs---- C:\Diskeeper

2008-03-18 12:25 . 2008-03-18 12:25 <REP> d-------- C:\Program Files\Diskeeper Corporation

2008-03-18 12:25 . 2008-03-18 12:25 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Diskeeper Corporation

2008-03-17 19:39 . 2008-03-17 17:39 66,560 --a------ C:\WINDOWS\b155.exe

2008-03-12 15:07 . 2008-03-12 15:07 <REP> d-------- C:\Documents and Settings\mvh\Application Data\scriptocean

2008-03-06 15:49 . 2008-03-06 15:49 23 --ahs---- C:\WINDOWS\system32\dceaf6_z.dll

2008-03-06 15:49 . 2008-03-06 15:49 23 --a------ C:\WINDOWS\system32\cfaec_z.ocx

2008-03-06 15:16 . 2008-03-06 15:49 <REP> d-------- C:\Program Files\jv16 PowerTools 2008

2008-03-04 15:27 . 2008-03-05 14:17 <REP> d-------- C:\Program Files\TClockEx

2008-03-02 18:26 . 2008-03-02 16:26 73,728 --a------ C:\WINDOWS\b153.exe

2008-02-27 14:46 . 2008-02-27 14:47 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Lavasoft

2008-02-26 11:57 . 2008-02-26 12:03 197,632 --a------ C:\test_read.tmp

2008-02-19 15:49 . 2007-12-12 16:56 53,248 --a------ C:\WINDOWS\system32\CSVer.dll

2008-02-19 15:48 . 2008-02-19 15:48 <REP> d-------- C:\Intel

2008-02-19 14:30 . 2004-06-14 15:56 427,864 --a------ C:\WINDOWS\system32\XceedZip.dll

2008-02-19 13:22 . 2008-02-19 13:26 <REP> d-------- C:\Documents and Settings\mvh\Application Data\Desktop Calendar

2008-02-18 17:16 . 2006-04-01 07:33 17,408 -ra------ C:\WINDOWS\system32\EtCoInst.dll

2008-02-18 10:18 . 2008-02-18 10:18 <REP> d-------- C:\Program Files\Microsoft IntelliPoint

2008-02-14 10:50 . 2008-02-14 10:50 23,600 --a------ C:\WINDOWS\system32\drivers\TVICHW32.SYS

2008-02-14 10:38 . 2008-02-14 10:38 <REP> d-------- C:\Program Files\Lavalys

2008-02-13 16:53 . 2008-02-13 16:53 133 --a------ C:\WINDOWS\lsplugin.ini

2008-02-13 14:35 . 2008-02-13 14:35 1,024 --a------ C:\WINDOWS\system32\ln5fhun.tgz

2008-02-12 14:04 . 2008-02-12 14:04 <REP> d-------- C:\Documents and Settings\mvh\Application Data\MiK

2008-02-12 13:58 . 2008-02-12 13:58 <REP> d-------- C:\Documents and Settings\All Users\Application Data\MiK

2008-02-05 17:04 . 2008-02-05 17:04 <REP> d-------- C:\Program Files\EuroThink

2008-02-05 16:24 . 2008-02-13 14:54 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Cavomatic

2008-02-05 14:18 . 2008-02-05 14:18 <REP> d-------- C:\Program Files\Fichiers communs\Borland Shared

2008-02-05 14:18 . 2008-02-13 14:47 <REP> d-------- C:\Documents and Settings\mvh\Application Data\Jeroboam

2008-02-05 14:18 . 1999-01-20 06:01 210,032 --a------ C:\WINDOWS\system32\DBCLIENT.DLL

2008-02-05 14:18 . 1999-11-12 06:11 183,808 --a------ C:\WINDOWS\system32\BDEADMIN.CPL

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-03-31 10:03 --------- d-----w C:\Program Files\Common Files

2008-03-31 08:41 2,516 --sha-w C:\Documents and Settings\All Users\Application Data\KGyGaAvL.sys

2008-03-28 13:32 --------- d-----w C:\Program Files\EmEditor

2008-03-27 13:18 --------- d-----w C:\Program Files\DelFax

2008-03-25 10:36 --------- d-----w C:\Documents and Settings\mvh\Application Data\Sites

2008-03-25 10:36 --------- d-----w C:\Documents and Settings\mvh\Application Data\Classes de site

2008-03-12 08:25 --------- d-----w C:\Documents and Settings\All Users\Application Data\Microsoft Help

2008-03-11 15:51 --------- d-----w C:\Program Files\SWiSH Max2

2008-03-07 12:19 --------- d-----w C:\Program Files\Lavasoft

2008-03-07 12:18 --------- d-----w C:\Program Files\Fichiers communs\Wise Installation Wizard

2008-03-07 12:04 --------- d-----w C:\Program Files\UltraISO

2008-03-07 12:04 --------- d-----w C:\Program Files\Fichiers communs\EZB Systems

2008-03-05 12:27 --------- d-----w C:\Program Files\Totalcmd

2008-03-05 12:16 161 ----a-w C:\Delme.bat

2008-03-04 13:45 --------- d-----w C:\Program Files\Atomic Alarm Clock

2008-02-21 11:06 --------- d-----w C:\Program Files\eMule

2008-02-21 08:10 --------- d-----w C:\Program Files\McAfee

2008-02-20 15:58 --------- d-----w C:\Program Files\Corel

2008-02-20 12:50 --------- d--h--w C:\Program Files\InstallShield Installation Information

2008-02-11 14:27 88 --sh--r C:\Documents and Settings\All Users\Application Data\E6A794E7CA.sys

2008-02-05 13:38 7,520 -csha-w C:\WINDOWS\system32\KGyGaAvL.sys

2008-02-05 11:33 --------- d-----w C:\Program Files\ArtIcons Pro

2008-02-04 14:04 --------- d-----w C:\Program Files\Fichiers communs\ACD Systems

2008-02-04 14:00 --------- d-----w C:\Documents and Settings\All Users\Application Data\ACD Systems

2008-01-28 12:15 1,773,568 ----a-w C:\WINDOWS\system32\msgdiplus.dll

2008-01-08 15:43 1,037,312 ----a-w C:\WINDOWS\system32\sqlrcmd.dll

2008-01-07 13:48 39,424 ----a-w C:\WINDOWS\zipinst.exe

2007-12-14 10:32 12,632 ----a-w C:\WINDOWS\system32\lsdelete.exe

2007-12-07 02:08 824,832 ----a-w C:\WINDOWS\system32\wininet.dll

2007-12-04 18:41 550,912 ----a-w C:\WINDOWS\system32\oleaut32.dll

2005-01-17 10:42 18 -c--a-w C:\Documents and Settings\mvh\Application Data\FileMark16.dll

2004-09-14 11:41 256 ---ha-w C:\Documents and Settings\All Users\Application Data\SYSREF87.BIN

2006-01-23 08:12 104 -csh--r C:\WINDOWS\system32\CAE794A7E6.sys

2006-09-19 09:26 168 -csh--r C:\WINDOWS\system32\E6A794E7CA.sys

.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))

.

REGEDIT4

*Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{2B0B59B4-55A3-4737-9FD5-B93C6430BF75}]

2008-03-28 13:32 54336 --a------ C:\WINDOWS\system32\gtgeswhj.dll

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{326012CB-D3FF-4b39-B052-6F5CE6FBB59F}]

2006-02-28 17:23 544768 --a--c--- C:\PROGRA~1\SOFTOM~1\TOOLBA~1\INSTAL~1\{C49DD~1\0\STADE_~1.DLL

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"SkinClock"="C:\Program Files\Atomic Alarm Clock\AtomicAlarmClock.exe" [2008-02-20 15:29 524800]

"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 00:54 15360]

"msnmsgr"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe" [2007-11-21 11:41 5724184]

"Art Plus Wallpaper Calendar"="C:\Program Files\Art Plus\Wallpaper5\wallpaper.exe" [2004-11-23 12:42 2113536]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"GSICONEXE"="GSICON.EXE" [2001-10-10 10:26 75776 C:\WINDOWS\system32\gsicon.exe]

"DSLAGENTEXE"="dslagent.exe" [2001-10-02 09:42 16384 C:\WINDOWS\system32\dslagent.exe]

"WFXSwtch"="C:\PROGRA~1\DelFax\WFXSWTCH.exe" [2001-09-11 11:06 27648]

"WinFaxAppPortStarter"="wfxsnt40.exe" [2001-09-28 13:39 45568 C:\WINDOWS\system32\WFXSNT40.EXE]

"NeroFilterCheck"="C:\Program Files\Fichiers communs\Nero\Lib\NeroCheck.exe" [2007-03-01 15:57 153136]

"igfxtray"="C:\WINDOWS\system32\igfxtray.exe" [2005-09-20 11:35 94208]

"igfxhkcmd"="C:\WINDOWS\system32\hkcmd.exe" [2005-09-20 11:32 77824]

"igfxpers"="C:\WINDOWS\system32\igfxpers.exe" [2005-09-20 11:36 114688]

"Acrobat Assistant 8.0"="C:\Program Files\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe" [2008-01-11 20:54 623992]

"mcagent_exe"="C:\Program Files\McAfee.com\Agent\mcagent.exe" [2007-08-03 23:33 582992]

"IntelliPoint"="C:\Program Files\Microsoft IntelliPoint\ipoint.exe" [2007-02-06 01:52 849280]

"QuickTime Task"="C:\Program Files\QuickStarTime\qttask.exe" [2006-05-29 13:08 282624]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-04 00:54 15360]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]

"NoSMMyPictures"= 0 (0x0)

"NoToolbarCustomize"= 0 (0x0)

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\shellexecutehooks]

"{A213B520-C6C2-11d0-AF9D-008029E1027E}"= C:\Program Files\DelFax\WfxSeh32.Dll [1998-07-27 08:54 38400]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon]

"UIHost"="C:\\WINDOWS\\system32\\logonui.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusDisableNotify"=dword:00000001

"UpdatesDisableNotify"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\McAfeeAntiVirus]

"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\McAfeeFirewall]

"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"C:\\WINDOWS\\System32\\mmc.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"C:\\Program Files\\Bonjour\\mDNSResponder.exe"=

"C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=

"C:\\Program Files\\Windows Live\\Messenger\\livecall.exe"=

"C:\\Program Files\\Messenger\\msmsgs.exe"=

"C:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"=

"C:\\Program Files\\Fichiers communs\\McAfee\\MNA\\McNASvc.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"139:TCP"= 139:TCP:@xpsp2res.dll,-22004

"445:TCP"= 445:TCP:@xpsp2res.dll,-22005

"137:UDP"= 137:UDP:@xpsp2res.dll,-22001

"138:UDP"= 138:UDP:@xpsp2res.dll,-22002

"31041:TCP"= 31041:TCP:SitekeeperRPC

"31040:TCP"= 31040:TCP:PIServerRPC

"31042:TCP"= 31042:TCP:SKAgentRPC

"4500:UDP"= 4500:UDP:SkIPSec4500

"500:UDP"= 500:UDP:SkIPSec500

"1434:UDP"= 1434:UDP:SitekeeperSQL

"135:TCP"= 135:TCP:DiskeeperDCOM

"3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\RemoteAdminSettings]

"RemoteAddresses"= *

"Enabled"= 1 (0x1)

R2 ADSLAutoconnect;ADSLAutoconnect;"C:\Program Files\ADSL Autoconnect\ADSL Autoconnect.exe" -z []

R2 PSI_SVC_2;Protexis Licensing V2;"c:\Program Files\Fichiers communs\Protexis\License Service\PsiService_2.exe" [2007-07-24 12:15]

R2 wfxsvc;DelrinaFax PRO;C:\WINDOWS\system32\WFXSVC.EXE [2000-05-15 16:37]

S1 bcbus;BestCrypt bus driver;C:\WINDOWS\system32\DRIVERS\bcbus.sys []

S2 gafwload;Eicon Networks USB ADSL Loader;C:\WINDOWS\system32\DRIVERS\gafwload.sys [2001-09-28 12:07]

S3 EverestDriver;Lavalys EVEREST Kernel Driver;C:\Program Files\Lavalys\EVEREST Ultimate Edition\kerneld.wnt [2007-10-17 01:00]

S3 SQTECH9150;Mini Cam;C:\WINDOWS\system32\Drivers\Capt9150.sys [2003-07-17 20:44]

.

Contenu du dossier 'Scheduled Tasks/Tƒches planifi‚es'

"2007-01-04 08:35:41 C:\WINDOWS\Tasks\McDefragTask.job"

- C:\WINDOWS\system32\defrag.exe

"2007-01-04 08:35:40 C:\WINDOWS\Tasks\McQcTask.job"

- c:\program files\mcafee\mqc\QcConsol.exe.4158 0

"2004-11-10 12:39:35 C:\WINDOWS\Tasks\RegistryMedicAuotScan.job"

- C:\Program Files\Registry Medic\RegMedical.exe

.

**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-03-31 13:26:34

Windows 5.1.2600 Service Pack 2 NTFS

Balayage processus cach‚s ...

Balayage cach‚ autostart entries ...

Balayage des fichiers cach‚s ...

Scan termin‚ avec succŠs

Les fichiers cach‚s: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\EverestDriver]

"ImagePath"="\??\C:\Program Files\Lavalys\EVEREST Ultimate Edition\kerneld.wnt"

.

--------------------- DLLs a charg‚ sous des processus courants ---------------------

PROCESS: C:\WINDOWS\explorer.exe

-> C:\Program Files\Atomic Alarm Clock\Clock.dll

.

------------------------ Other Running Processes ------------------------

.

C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe

C:\Program Files\Bonjour\mDNSResponder.exe

C:\WINDOWS\system32\crypserv.exe

C:\Program Files\Diskeeper Corporation\Diskeeper\DkService.exe

C:\PROGRA~1\McAfee\MSC\mcmscsvc.exe

c:\program files\fichiers communs\mcafee\mna\mcnasvc.exe

c:\PROGRA~1\FICHIE~1\mcafee\mcproxy\mcproxy.exe

C:\PROGRA~1\McAfee\VIRUSS~1\mcshield.exe

C:\Program Files\McAfee\MPF\MPFSrv.exe

C:\WINDOWS\system32\PSIService.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe

C:\Program Files\DelFax\WFXMOD32.EXE

C:\PROGRA~1\McAfee.com\Agent\mcagent.exe

C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

C:\Program Files\Windows Live\Messenger\usnsvc.exe

C:\PROGRA~1\McAfee\VIRUSS~1\mcsysmon.exe

.

**************************************************************************

.

Temps d'accomplissement: 2008-03-31 13:32:07 - machine was rebooted

ComboFix-quarantined-files.txt 2008-03-31 11:32:02

Pre-Run: 4,515,082,240 octets libres

Post-Run: 4,410,343,424 octets libres

.

2008-03-12 08:25:07 --- E O F ---

pear · le 1 avril 2008

Bonjour,

Combo, Nettoyage

# Déconnectez-vous du net et désactivez l'antivirus (juste le temps de la procédure !)

Lancez Combofix

# Dans le bloc-note ,copiez-collez ces lignes :

KillAll::

Driver::

C:\WINDOWS\system32\CAE794A7E6.sys

C:\WINDOWS\system32\E6A794E7CA.sys

File::

C:\WINDOWS\system32\ioidwypt.ini

C:\WINDOWS\system32\gtgeswhj.dll

C:\WINDOWS\system32\tmp.reg

C:\WINDOWS\system32\efmuhnnf.ini

C:\WINDOWS\b155.exe

C:\WINDOWS\system32\dceaf6_z.dll

C:\WINDOWS\system32\cfaec_z.ocx

C:\WINDOWS\b153.exe

C:\WINDOWS\system32\ln5fhun.tgz

Registry::

[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{2B0B59B4-55A3-4737-9FD5-B93C6430BF75}]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusDisableNotify"=-

"UpdatesDisableNotify"=-

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\McAfeeAntiVirus]

"DisableMonitoring"=-

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\McAfeeFirewall]

"DisableMonitoring"=-

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"=-

* Attention, ce code a été rédigé spécialement pour cet utilisateur, prière de ne pas le réutiliser dans d'autres cas !

Enregistrez-le en lui donnant le nom CFScript.txt

* Faire un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe

http://i261.photobucket.com/albums/ii49/Ma...te/CFScript.gif

*

* Au message qui apparait dans une fenêtre bleue ( Type 1 to continue, or 2 to abort) , taper 1 puis valider.

* Patienter le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!

Ne toucher à rien tant que le scan n'est pas terminé.

* Une fois le scan achevé, un rapport va s'afficher: poster son contenu.

* Si le fichier n'apparait pas, il se trouve ici > C:\ComboFix.txt

Et un nouvel Hijackthis avec le rapport Combofix.

stadeverois · le 1 avril 2008

Merci pour votre réponse.

J'espère que cela s'est bien passé car je n'ai pas eu le choix annoncé (1 ou 2), tout s'est passé automatiquement.

Vous me direz si c'est ok.

Voici le rapport Combofix:

ComboFix 08-03-30.3 - mvh 2008-04-01 14:44:56.2 - NTFSx86

Microsoft Windows XP Professionnel 5.1.2600.2.1252.33.1036.18.1032 [GMT 2:00]

Endroit: C:\Documents and Settings\mvh\Bureau\ComboFix.exe

Command switches used :: D:\TftWeb\ComboFix\CFScript.txt

* Création d'un nouveau point de restauration

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

FILE ::

C:\WINDOWS\b153.exe

C:\WINDOWS\b155.exe

C:\WINDOWS\system32\cfaec_z.ocx

C:\WINDOWS\system32\dceaf6_z.dll

C:\WINDOWS\system32\efmuhnnf.ini

C:\WINDOWS\system32\gtgeswhj.dll

C:\WINDOWS\system32\ioidwypt.ini

C:\WINDOWS\system32\ln5fhun.tgz

C:\WINDOWS\system32\tmp.reg

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

C:\WINDOWS\b153.exe

C:\WINDOWS\b155.exe

C:\WINDOWS\system32\cfaec_z.ocx

C:\WINDOWS\system32\dceaf6_z.dll

C:\WINDOWS\system32\efmuhnnf.ini

C:\WINDOWS\system32\gtgeswhj.dll

C:\WINDOWS\system32\ioidwypt.ini

C:\WINDOWS\system32\ln5fhun.tgz

C:\WINDOWS\system32\prsgrc.dll

C:\WINDOWS\system32\ssprs.dll

C:\WINDOWS\system32\tmp.reg

.

((((((((((((((((((((((((((((( Fichiers cr‚‚s 2008-03-01 to 2008-04-01 ))))))))))))))))))))))))))))))))))))

.

2008-03-31 13:07 . 2008-03-31 13:07 <REP> d-------- C:\Program Files\Trend Micro

2008-03-31 12:03 . 2008-03-31 12:03 2,015 -r-h----- C:\WINDOWS\system32\drivers\hosts

2008-03-31 10:59 . 2008-03-31 10:59 <REP> d-------- C:\WINDOWS\system32\bfubackups

2008-03-18 12:53 . 2008-03-18 12:53 <REP> d--hs---- C:\Diskeeper

2008-03-18 12:25 . 2008-03-18 12:25 <REP> d-------- C:\Program Files\Diskeeper Corporation

2008-03-18 12:25 . 2008-03-18 12:25 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Diskeeper Corporation

2008-03-12 15:07 . 2008-03-12 15:07 <REP> d-------- C:\Documents and Settings\mvh\Application Data\scriptocean

2008-03-06 15:16 . 2008-03-31 14:00 <REP> d-------- C:\Program Files\jv16 PowerTools 2008

2008-03-04 15:27 . 2008-03-05 14:17 <REP> d-------- C:\Program Files\TClockEx

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-04-01 12:23 2,516 --sha-w C:\Documents and Settings\All Users\Application Data\KGyGaAvL.sys