aide analyse hijack rapport

antoineL · le 6 avril 2008

Bonjour,

J'ai attrapé un virus il y a 3 jours maintenants, en cliquant sur un lien envoyé via un faux message sur windows mesdsenger, et je n'arrive toujours pas a le supprimer.

Au debut, il essayait de rentrer ds la base de donnée et de modifier surtout userlnit. J'ai essayé SDFix (mode sans echec), puis scan ccleaner et avg... Et je ne sais pas maintenant si mon PC est infecté, meme si avast detecte parfois des chevals de troie.

Je vous envois donc le rapport HiJack, en espèrant que vous pourrez m'indiquer une solution.

------------------------------------------------------------------------------------

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 17:00:59, on 06/04/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16608)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\Parental Filter\LoggingEPCP.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\Program Files\Parental Filter\ServiceEPCP.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE

C:\Program Files\Internet Explorer\IEXPLORE.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://go.microsoft.com/fwlink/?LinkId=74005

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

F2 - REG:system.ini: Shell=

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\%%%%%.exe

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [DWQueuedReporting] "C:\PROGRA~1\FICHIE~1\MICROS~1\DW\dwtrig20.exe" -t

O4 - HKLM\..\Run: [LOGGING_EPCP] "C:\Program Files\Parental Filter\LoggingEPCP.exe" start

O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)

O10 - Unknown file in Winsock LSP: c:\program files\parental filter\hooklib.dll

O18 - Protocol: x-mem3n - {0F4413E7-5D3B-4B1A-8AA2-E2307F06B228} - C:\Program Files\Parental Filter\eztoolslib.net.dll

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Parental Filter (ServiceEPCP) - - C:\Program Files\Parental Filter\ServiceEPCP.exe

--

End of file - 6420 bytes

---------------------------------------------------------------------------------------------------------------------

Merci d'avance.

Antoine

pear · le 6 avril 2008

Bonjour,

Désactiver les protections résidentes ( Antivirus, etc...), vous les réactiverez ensuite,

* Télécharger Lop S&D de Eric71 sur le bureau,

http://eric.71.mespages.googlepages.com/LopSD.exe

* Double-cliquer dessus pour lancer l'installation

* Puis double-cliquer sur le raccourci Lop S&D présent sur le bureau

* Séléctionner la langue souhaitée , puis choisir l'Option 1 (Recherche)

* Patienter jusqu'à la fin du scan

* Poster le rapport généré (C:\lopR.txt)

( Si le Bureau ne réapparait pas presser Ctrl + Alt + Suppr , Onglet Fichier , Nouvelle tâche , taper explorer.exe et valider )

Relancer Lop S&D

* Choisir l'Option 2 (Suppression)

* Ne fermez pas la fenêtre lors de la suppression !

* Poster le rapport généré (C:\lopR.txt)

(Si le Bureau ne réapparaît pas presser Ctrl + Alt + Suppr , Onglet Fichier , Nouvelle tâche , taper explorer.exe et valider)

[/color]

* Télécharger SDFix (créé par AndyManchesta) et le sauvegarder sur le Bureau.

http://downloads.andymanchesta.com/RemovalTools/SDFix.exe

* Double cliquer sur SDFix.exe et choisir Install pour l'extraire dans un dossier dédié sur le Bureau.

Redémarrer en mode sans échec

* Ouvrir le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clic sur RunThis.bat pour lancer le script.

* Appuyer sur Y pour commencer le processus de nettoyage.

* Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis demandera d'appuyer sur une touche pour redémarrer.

Si Sdfix ne se lance pas:

Démarrer->Exécuter

Copiez/collez ceci:

%systemroot%\system32\cmd.exe /K %systemdrive%\SDFix\apps\FixPath.exe

cliquez ok, et validez.

Redémarrez et essayez de nouveau de lancer Sdfix.

* Le redémarrage sera plus lent qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.

* Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.

* Appuyer sur une touche pour finir l'exécution du script et charger les icônes du Bureau.

* Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.

* Postez le rapport ici.

Modifié le 6 avril 2008 par pear

angelique · le 6 avril 2008

'jour

• Ouvre le poste de travail

Clic sur le menu outils en haut à droite puis options des dossiers

Dans la nouvelle fenêtre, clic sur l'onglet Affichage en haut

Coche dans la liste "Afficher les fichiers cachés"

Décoche "masquer les fichier proteger du systeme d exploitation (recommandée)"

Tu vas recevoir un message qui te dit que cela peut endommager le système, n'en tiens pas compte.

** upload le fichier en gras à cette adresse:: http://changelog.fr/upload/

C:\WINDOWS\system32\%%%%%.exe

• Desactive le Teatimer sinon il va géner dans la desinfection

**relance HJT " do a system scan only" , coche uniquement les lignes ci dessous et clic fichecked:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\%%%%%.exe

• Téléchargez MSNFix.zip (de !aur3n7) sur votre bureau:

http://sosvirus.changelog.fr/MSNFix.zip

Décompressez-le (clic droit >> Extraire ici) et double cliquer sur le fichier MSNFix.bat.

- Exécutez l'option R.

-- Si l'infection est détectée, un message l'indiquera et il suffira de presser une touche pour lancer le nettoyage

Note :

Si une erreur de suppression est détectée un message s'affichera demandant de redémarrer l'ordinateur afin de terminer les opérations. Dans ce cas il suffit de redémarrer l'ordinateur en mode normal

- Le rapport sera enregistré dans le même dossier que MSNFix sous forme date_heure.txt

Note :

Si une erreur de suppression est détectée un message s'affichera demandant de redémarrer l'ordinateur afin de terminer les opérations. Dans ce cas il suffit de redémarrer l'ordinateur en mode normal

Sauvegarder et fermer le rapport pour que Windows termine de se lancer normalement.

• Télécharger OTMoveIt2 par OldTimer.

http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe

* Enregistrer ce fichier sur le Bureau.

* Faire un double clic sur OTMoveIt2.exe pour lancer l'exécution de l'outil. (Note: Si vous utilisez Vista, faire un clic droit sur le fichier puis choisir Exécuter en tant qu'administrateur).

* Copier les lignes de la zone "Code" ci-dessous dans le Presse-papiers en les sélectionnant TOUTES puis en appuyant simultanément sur les touches CTRL et C (ou, après les avoir sélectionnées, en faisant un clic droit puis en choisissant Copier):

C:\WINDOWS\system32\%%%%%.exe
EmptyTemp

* Retourner dans la fenêtre de OTMoveIt2, faire un clic droit dans la zone "Paste List of Files/Folders to Move" ) puis choisir Coller.

* Cliquer sur le bouton rouge Moveit!.

* Copier tout ce qui se trouve dans la zone Results (sous la barre verte) dans le Presse-papiers en sélectionnant TOUTES LES LIGNES puis en appuyant simultanément sur les touches CTRL et C (ou, après les avoir sélectionnées, en faisant un clic droit puis en choisissant Copier), et coller ces résulats en réponse sur le forum.

* Fermer OTMoveIt2

Note: Si un fichier ou un dossier ne peut pas être déplacé immédiatement, un redémarrage sera peut-être nécessaire afin de terminer le processus de déplacement. Si le redémarrage de la machine vous est demandé, choisir Oui/Yes. Dans ce cas, après le redémarrage, ouvrir le Bloc-notes (Démarrer->Tous les programmes->Accessoires->Bloc-notes), cliquer sur Fichier->Ouvrir, dans la zone "Nom du fichier" taper *.log et appuyer sur la touche Entrée, naviguer jusqu'au dossier C:\_OTMoveIt\MovedFiles, puis ouvrir le fichier .log le plus récent; ensuite faire un copier/coller du contenu de ce document en réponse sur le forum avec le rapport MSNFix et un nouveau rapport HJT

edit:: j'ai posté en meme temps que toi pear , je peux continuer si tu veux ^^ ; nb: y'a pas d'infection LOP ;o)

antoineL · le 6 avril 2008

Reponse à Pear

------------------------------------------------------------------------------------------------------------------------

Premier rapport de Lop (recherche)

-----------------------[ Lop S&D 4.1.0-8 XP/Vista ]---------------------

[ Windows XP (NT 5.1) Build 2600, Service Pack 2 ]

[ USER : Lortie ] [ "C:\Lop SD" ]

[ 06/04/2008 | 19:10:38,93 ] [ PC : FAMILLE-748279E ]

[ MAJ : 06-04-2008 | 11:07 ]

-------------[ Listing des dossiers dans Application Data ]------------

[08/09/1702|15:45] C:\DOCUME~1\ADMINI~1\APPLIC~1\.

[08/09/1702|15:45] C:\DOCUME~1\ADMINI~1\APPLIC~1\..

[08/09/1702|15:45] C:\DOCUME~1\ADMINI~1\APPLIC~1\Adobe

[21/04/2060|10:07] C:\DOCUME~1\ADMINI~1\APPLIC~1\desktop.ini

[19/09/5359|02:43] C:\DOCUME~1\ADMINI~1\APPLIC~1\Identities

[16/03/2008|19:53] C:\DOCUME~1\ADMINI~1\APPLIC~1\Macromedia

[16/03/2008|23:37] C:\DOCUME~1\ADMINI~1\APPLIC~1\Microsoft

[02/04/2008|21:46] C:\DOCUME~1\ALLUSE~1\APPLIC~1\.

[02/04/2008|21:46] C:\DOCUME~1\ALLUSE~1\APPLIC~1\..

[18/03/2008|19:41] C:\DOCUME~1\ALLUSE~1\APPLIC~1\Age of Empires 3

[07/11/1783|11:20] C:\DOCUME~1\ALLUSE~1\APPLIC~1\desktop.ini

[16/03/2008|20:06] C:\DOCUME~1\ALLUSE~1\APPLIC~1\Downloaded Installations

[02/04/2008|21:46] C:\DOCUME~1\ALLUSE~1\APPLIC~1\Grisoft

[17/03/2008|23:29] C:\DOCUME~1\ALLUSE~1\APPLIC~1\Microsoft

[08/09/1702|15:54] C:\DOCUME~1\ALLUSE~1\APPLIC~1\Microsoft Help

[30/03/2008|23:08] C:\DOCUME~1\ALLUSE~1\APPLIC~1\Spybot - Search & Destroy

[16/03/2008|20:03] C:\DOCUME~1\ALLUSE~1\APPLIC~1\Windows Genuine Advantage

[21/04/2060|10:07] C:\DOCUME~1\DEFAUL~1\APPLIC~1\.

[21/04/2060|10:07] C:\DOCUME~1\DEFAUL~1\APPLIC~1\..

[07/11/1783|11:20] C:\DOCUME~1\DEFAUL~1\APPLIC~1\desktop.ini

[19/03/2008|18:55] C:\DOCUME~1\DEFAUL~1\APPLIC~1\Microsoft

[01/01/1601|02:00] C:\DOCUME~1\LOCALS~1\APPLIC~1\.

[01/01/1601|02:00] C:\DOCUME~1\LOCALS~1\APPLIC~1\..

[16/03/2008|23:36] C:\DOCUME~1\LOCALS~1\APPLIC~1\Microsoft

[17/03/2008|17:43] C:\DOCUME~1\Lortie\APPLIC~1\.

[17/03/2008|17:43] C:\DOCUME~1\Lortie\APPLIC~1\..

[17/03/2008|16:51] C:\DOCUME~1\Lortie\APPLIC~1\Adobe

[07/11/1783|11:20] C:\DOCUME~1\Lortie\APPLIC~1\desktop.ini

[02/04/2008|21:46] C:\DOCUME~1\Lortie\APPLIC~1\Grisoft

[16/03/2008|23:56] C:\DOCUME~1\Lortie\APPLIC~1\Identities

[18/03/2008|19:06] C:\DOCUME~1\Lortie\APPLIC~1\Macromedia

[30/03/2008|23:31] C:\DOCUME~1\Lortie\APPLIC~1\Microsoft

[01/01/1601|02:00] C:\DOCUME~1\NETWOR~1\APPLIC~1\.

[01/01/1601|02:00] C:\DOCUME~1\NETWOR~1\APPLIC~1\..

[20/03/2008|13:46] C:\DOCUME~1\NETWOR~1\APPLIC~1\Microsoft

----------------[ Tâches planifiées dans C:\WINDOWS\tasks ]---------------

[07/09/2002 02:00][-r-h-----] C:\WINDOWS\tasks\desktop.ini

[06/04/2008 16:37][--ah-----] C:\WINDOWS\tasks\SA.DAT

---------------[ Listing des dossiers dans C:\Program Files ]--------------

[06/04/2008|16:47] C:\Program Files\.

[06/04/2008|16:47] C:\Program Files\..

[01/03/2008|18:58] C:\Program Files\7-Zip

[16/03/2008|19:09] C:\Program Files\Ahead

[08/09/1702|15:36] C:\Program Files\Alwil Software

[02/04/2008|21:43] C:\Program Files\CCleaner

[07/11/1783|11:25] C:\Program Files\ComPlus Applications

[22/03/2008|19:15] C:\Program Files\Dofus

[05/04/2008|20:59] C:\Program Files\EA GAMES

[16/03/2008|19:09] C:\Program Files\Fichiers communs

[16/03/2008|19:15] C:\Program Files\Foxit Software

[08/09/1702|15:50] C:\Program Files\Gadwin Systems

[02/04/2008|21:46] C:\Program Files\Grisoft

[17/03/2008|23:29] C:\Program Files\InstallShield Installation Information

[19/03/2008|18:56] C:\Program Files\Internet Explorer

[21/04/2060|10:22] C:\Program Files\microsoft frontpage

[17/03/2008|22:56] C:\Program Files\Microsoft Games

[01/03/2008|19:00] C:\Program Files\Microsoft Office

[16/03/2008|19:50] C:\Program Files\Microsoft Silverlight

[21/04/2060|10:15] C:\Program Files\Movie Maker

[21/04/2060|10:22] C:\Program Files\msn gaming zone

[19/03/2008|18:53] C:\Program Files\MSXML 4.0

[21/04/2060|10:17] C:\Program Files\NetMeeting

[17/03/2008|18:00] C:\Program Files\Outlook Express

[31/03/2008|23:47] C:\Program Files\Parental Filter

[31/03/2008|22:37] C:\Program Files\ParentalFilter.exe

[01/03/2008|19:04] C:\Program Files\PowerQuest

[21/04/2060|10:20] C:\Program Files\Services en ligne

[08/09/1702|15:56] C:\Program Files\SLD Codec Pack

[30/03/2008|22:13] C:\Program Files\Spybot - Search & Destroy

[06/04/2008|16:47] C:\Program Files\Trend Micro

[08/09/1702|15:46] C:\Program Files\UltraDefrag

[19/09/5359|02:43] C:\Program Files\Uninstall Information

[16/03/2008|20:05] C:\Program Files\Windows Media Connect 2

[17/03/2008|18:01] C:\Program Files\Windows Media Player

[07/11/1783|11:24] C:\Program Files\windows nt

[21/04/2060|10:20] C:\Program Files\WindowsUpdate

[21/04/2060|10:22] C:\Program Files\xerox

------[ Listing des dossiers dans C:\Program Files\Fichiers communs ]------

[16/03/2008|19:09] C:\Program Files\Fichiers communs\.

[16/03/2008|19:09] C:\Program Files\Fichiers communs\..

[16/03/2008|19:15] C:\Program Files\Fichiers communs\Ahead

[01/03/2008|19:00] C:\Program Files\Fichiers communs\DESIGNER

[19/09/5359|02:49] C:\Program Files\Fichiers communs\InstallShield

[01/03/2008|19:01] C:\Program Files\Fichiers communs\Microsoft Shared

[21/04/2060|10:16] C:\Program Files\Fichiers communs\MSSoap

[21/04/2060|10:09] C:\Program Files\Fichiers communs\ODBC

[21/04/2060|10:17] C:\Program Files\Fichiers communs\Services

[21/04/2060|10:08] C:\Program Files\Fichiers communs\SpeechEngines

[17/03/2008|18:00] C:\Program Files\Fichiers communs\System

----------------------[ Recherche avec S_Lop ]---------------------

Aucun fichier / dossier Lop trouvé !

-----------------[ Recherche de Fichiers / Dossiers Lop ]-----------------

Aucun fichier / dossier Lop trouvé !

----------------------[ Verification du Registre ]----------------------

..... OK !

--------------------[ Verification du fichier Hosts ]---------------------

Fichier Hosts PROPRE

----------------[ Recherche de fichiers avec Catchme ]-----------------

catchme 0.3.1262 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-04-06 19:13:48

Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

? [1088]

? [1620]

scanning hidden files ...

C:\DOCUME~1\Lortie\LOCALS~1\APPLIC~1\Microsoft\Windows\GameExplorer\{DFEF49D9-FC95-4301-99B9-2FB91C6ABA06}\PlayTasks\1\Les Sims™ 2 : Boit@Look.lnk 1087 bytes hidden from API

scan completed successfully

hidden processes: 2

hidden files: 1

--------------------[ Recherche d'autres infections ]---------------------

Aucune autre infection trouvée !

/!\ [Fich:44][Doss:3] C:\DOCUME~1\Lortie\LOCALS~1\Temp

/!\ [Fich:28][Doss:0] C:\DOCUME~1\Lortie\Cookies

/!\ [Fich:1287][Doss:12] C:\DOCUME~1\Lortie\LOCALS~1\TEMPOR~1\content.IE5

--------------------[ Fin du rapport a 19:16:07,35 ]----------------------

-------------------------------------------------------------------------------------------------------

Deuxieme rapport de Lop (suppression)

-----------------------[ Lop S&D 4.1.0-8 XP/Vista ]---------------------

[ Windows XP (NT 5.1) Build 2600, Service Pack 2 ]

[ USER : Lortie ] [ "C:\Lop SD" ]

[ 06/04/2008 | 19:17:08,76 ] [ PC : FAMILLE-748279E ]

[ MAJ : 06-04-2008 | 11:07 ]

\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\ SUPPRESSION /////////////////////////////

Restauré! - Fichier Hosts

//////////////////////////////////////-\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\

-------------[ Listing des dossiers dans Application Data ]------------

[08/09/1702|15:45] C:\DOCUME~1\ADMINI~1\APPLIC~1\.

[08/09/1702|15:45] C:\DOCUME~1\ADMINI~1\APPLIC~1\..

[08/09/1702|15:45] C:\DOCUME~1\ADMINI~1\APPLIC~1\Adobe

[21/04/2060|10:07] C:\DOCUME~1\ADMINI~1\APPLIC~1\desktop.ini

[19/09/5359|02:43] C:\DOCUME~1\ADMINI~1\APPLIC~1\Identities

[16/03/2008|19:53] C:\DOCUME~1\ADMINI~1\APPLIC~1\Macromedia

[16/03/2008|23:37] C:\DOCUME~1\ADMINI~1\APPLIC~1\Microsoft

[02/04/2008|21:46] C:\DOCUME~1\ALLUSE~1\APPLIC~1\.

[02/04/2008|21:46] C:\DOCUME~1\ALLUSE~1\APPLIC~1\..

[18/03/2008|19:41] C:\DOCUME~1\ALLUSE~1\APPLIC~1\Age of Empires 3

[07/11/1783|11:20] C:\DOCUME~1\ALLUSE~1\APPLIC~1\desktop.ini

[16/03/2008|20:06] C:\DOCUME~1\ALLUSE~1\APPLIC~1\Downloaded Installations

[02/04/2008|21:46] C:\DOCUME~1\ALLUSE~1\APPLIC~1\Grisoft

[17/03/2008|23:29] C:\DOCUME~1\ALLUSE~1\APPLIC~1\Microsoft

[08/09/1702|15:54] C:\DOCUME~1\ALLUSE~1\APPLIC~1\Microsoft Help

[30/03/2008|23:08] C:\DOCUME~1\ALLUSE~1\APPLIC~1\Spybot - Search & Destroy

[16/03/2008|20:03] C:\DOCUME~1\ALLUSE~1\APPLIC~1\Windows Genuine Advantage

[21/04/2060|10:07] C:\DOCUME~1\DEFAUL~1\APPLIC~1\.

[21/04/2060|10:07] C:\DOCUME~1\DEFAUL~1\APPLIC~1\..

[07/11/1783|11:20] C:\DOCUME~1\DEFAUL~1\APPLIC~1\desktop.ini

[19/03/2008|18:55] C:\DOCUME~1\DEFAUL~1\APPLIC~1\Microsoft

[01/01/1601|02:00] C:\DOCUME~1\LOCALS~1\APPLIC~1\.

[01/01/1601|02:00] C:\DOCUME~1\LOCALS~1\APPLIC~1\..

[16/03/2008|23:36] C:\DOCUME~1\LOCALS~1\APPLIC~1\Microsoft

[17/03/2008|17:43] C:\DOCUME~1\Lortie\APPLIC~1\.

[17/03/2008|17:43] C:\DOCUME~1\Lortie\APPLIC~1\..

[17/03/2008|16:51] C:\DOCUME~1\Lortie\APPLIC~1\Adobe

[07/11/1783|11:20] C:\DOCUME~1\Lortie\APPLIC~1\desktop.ini

[02/04/2008|21:46] C:\DOCUME~1\Lortie\APPLIC~1\Grisoft

[16/03/2008|23:56] C:\DOCUME~1\Lortie\APPLIC~1\Identities

[18/03/2008|19:06] C:\DOCUME~1\Lortie\APPLIC~1\Macromedia

[30/03/2008|23:31] C:\DOCUME~1\Lortie\APPLIC~1\Microsoft

[01/01/1601|02:00] C:\DOCUME~1\NETWOR~1\APPLIC~1\.

[01/01/1601|02:00] C:\DOCUME~1\NETWOR~1\APPLIC~1\..

[20/03/2008|13:46] C:\DOCUME~1\NETWOR~1\APPLIC~1\Microsoft

----------------[ Tâches planifiées dans C:\WINDOWS\tasks ]---------------

[07/09/2002 02:00][-r-h-----] C:\WINDOWS\tasks\desktop.ini

[06/04/2008 16:37][--ah-----] C:\WINDOWS\tasks\SA.DAT

---------------[ Listing des dossiers dans C:\Program Files ]--------------

[06/04/2008|16:47] C:\Program Files\.

[06/04/2008|16:47] C:\Program Files\..

[01/03/2008|18:58] C:\Program Files\7-Zip

[16/03/2008|19:09] C:\Program Files\Ahead

[08/09/1702|15:36] C:\Program Files\Alwil Software

[02/04/2008|21:43] C:\Program Files\CCleaner

[07/11/1783|11:25] C:\Program Files\ComPlus Applications

[22/03/2008|19:15] C:\Program Files\Dofus

[05/04/2008|20:59] C:\Program Files\EA GAMES

[16/03/2008|19:09] C:\Program Files\Fichiers communs

[16/03/2008|19:15] C:\Program Files\Foxit Software

[08/09/1702|15:50] C:\Program Files\Gadwin Systems

[02/04/2008|21:46] C:\Program Files\Grisoft

[17/03/2008|23:29] C:\Program Files\InstallShield Installation Information

[19/03/2008|18:56] C:\Program Files\Internet Explorer

[21/04/2060|10:22] C:\Program Files\microsoft frontpage

[17/03/2008|22:56] C:\Program Files\Microsoft Games

[01/03/2008|19:00] C:\Program Files\Microsoft Office

[16/03/2008|19:50] C:\Program Files\Microsoft Silverlight

[21/04/2060|10:15] C:\Program Files\Movie Maker

[21/04/2060|10:22] C:\Program Files\msn gaming zone

[19/03/2008|18:53] C:\Program Files\MSXML 4.0

[21/04/2060|10:17] C:\Program Files\NetMeeting

[17/03/2008|18:00] C:\Program Files\Outlook Express

[31/03/2008|23:47] C:\Program Files\Parental Filter

[31/03/2008|22:37] C:\Program Files\ParentalFilter.exe

[01/03/2008|19:04] C:\Program Files\PowerQuest

[21/04/2060|10:20] C:\Program Files\Services en ligne

[08/09/1702|15:56] C:\Program Files\SLD Codec Pack

[30/03/2008|22:13] C:\Program Files\Spybot - Search & Destroy

[06/04/2008|16:47] C:\Program Files\Trend Micro

[08/09/1702|15:46] C:\Program Files\UltraDefrag

[19/09/5359|02:43] C:\Program Files\Uninstall Information

[16/03/2008|20:05] C:\Program Files\Windows Media Connect 2

[17/03/2008|18:01] C:\Program Files\Windows Media Player

[07/11/1783|11:24] C:\Program Files\windows nt

[21/04/2060|10:20] C:\Program Files\WindowsUpdate

[21/04/2060|10:22] C:\Program Files\xerox

------[ Listing des dossiers dans C:\Program Files\Fichiers communs ]------

[16/03/2008|19:09] C:\Program Files\Fichiers communs\.

[16/03/2008|19:09] C:\Program Files\Fichiers communs\..

[16/03/2008|19:15] C:\Program Files\Fichiers communs\Ahead

[01/03/2008|19:00] C:\Program Files\Fichiers communs\DESIGNER

[19/09/5359|02:49] C:\Program Files\Fichiers communs\InstallShield

[01/03/2008|19:01] C:\Program Files\Fichiers communs\Microsoft Shared

[21/04/2060|10:16] C:\Program Files\Fichiers communs\MSSoap

[21/04/2060|10:09] C:\Program Files\Fichiers communs\ODBC

[21/04/2060|10:17] C:\Program Files\Fichiers communs\Services

[21/04/2060|10:08] C:\Program Files\Fichiers communs\SpeechEngines

[17/03/2008|18:00] C:\Program Files\Fichiers communs\System

----------------------[ Recherche avec S_Lop ]---------------------

Aucun fichier / dossier Lop trouvé !

-----------------[ Recherche de Fichiers / Dossiers Lop ]-----------------

Aucun fichier / dossier Lop trouvé !

----------------------[ Verification du Registre ]----------------------

..... OK !

--------------------[ Verification du fichier Hosts ]---------------------

Fichier Hosts PROPRE

----------------[ Recherche de fichiers avec Catchme ]-----------------

catchme 0.3.1262 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-04-06 19:20:03

Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

? [1088]

? [1620]

scanning hidden files ...

C:\DOCUME~1\Lortie\LOCALS~1\APPLIC~1\Microsoft\Windows\GameExplorer\{DFEF49D9-FC95-4301-99B9-2FB91C6ABA06}\PlayTasks\1\Les Sims™ 2 : Boit@Look.lnk 1087 bytes hidden from API

scan completed successfully

hidden processes: 2

hidden files: 1

--------------------[ Recherche d'autres infections ]---------------------

Aucune autre infection trouvée !

/!\ [Fich:44][Doss:3] C:\DOCUME~1\Lortie\LOCALS~1\Temp

/!\ [Fich:28][Doss:0] C:\DOCUME~1\Lortie\Cookies

/!\ [Fich:1287][Doss:12] C:\DOCUME~1\Lortie\LOCALS~1\TEMPOR~1\content.IE5

--------------------[ Fin du rapport a 19:22:19,71 ]----------------------

----------------------------------------------------------------------------------------------------------------------------------

Rapport de Sdfix

SDFix: Version 1.165

Run by Lortie on 06/04/2008 at 19:31

Microsoft Windows XP [version 5.1.2600]

Running From: C:\SDFix

Checking Services :

Restoring Windows Registry Values

Restoring Windows Default Hosts File

Rebooting

Checking Files :

Trojan Files Found:

C:\WINDOWS\system32\real.txt - Deleted

Removing Temp Files

ADS Check :

Final Check :

catchme 0.3.1344.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-04-06 19:39:36

Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

C:\WINDOWS\system32\%%%%%.exe [1244] 0x82BC2DA0

scanning hidden services & system hive ...

scanning hidden registry entries ...

scanning hidden files ...

C:\Documents and Settings\Lortie\Local Settings\Application Data\Microsoft\Windows\GameExplorer\{DFEF49D9-FC95-4301-99B9-2FB91C6ABA06}\PlayTasks\1\Les Sims™ 2 : Boit@Look.lnk 1087 bytes hidden from API

scan completed successfully

hidden processes: 1

hidden services: 0

hidden files: 1

Remaining Services :

Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]

"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

"C:\\Program Files\\Microsoft Games\\Age of Empires III\\age3x.exe"="C:\\Program Files\\Microsoft Games\\Age of Empires III\\age3x.exe:*:Enabled:Age of Empires III - The WarChiefs"

"C:\\Program Files\\Messenger\\msmsgs.exe"="C:\\Program Files\\Messenger\\msmsgs.exe:*:Enabled:Windows Messenger"

"C:\\WINDOWS\\system32\\%%%%%.exe"="C:\\WINDOWS\\system32\\%%%%%.exe:*:Enabled:Flash Media"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]

"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

Remaining Files :

File Backups: - C:\SDFix\backups\backups.zip

Files with Hidden Attributes :

Mon 28 Jan 2008 1,404,240 A.SHR --- "C:\Program Files\Spybot - Search & Destroy\SDUpdate.exe"

Mon 28 Jan 2008 5,146,448 A.SHR --- "C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe"

Mon 28 Jan 2008 2,097,488 A.SHR --- "C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe"

Sat 29 Mar 2008 4,348 A.SH. --- "C:\Documents and Settings\All Users\DRM\DRMv1.bak"

Sun 16 Mar 2008 0 A.SH. --- "C:\Documents and Settings\All Users\DRM\Cache\Indiv01.tmp"

Tue 1 Apr 2008 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\f7db876e78b88fd8276fd7d29cb7e4eb\BIT1.tmp"

Fri 17 Aug 2007 38,912 A..H. --- "C:\Documents and Settings\Lortie\Mes documents\ANDRE\enfants\~WRL2307.tmp"

Sun 16 Sep 2007 21,504 A..H. --- "C:\Documents and Settings\Lortie\Mes documents\ANDRE\enfants\~WRL2635.tmp"

Mon 17 Mar 2008 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\302e1056006644b6630bcb41e5969ade\download\BIT37.tmp"

Mon 17 Mar 2008 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\c8f95ed251aedea843abb9ea5b1a52d3\download\BIT30.tmp"

Finished!

--------------------------------------------------------------------------------------------------------

Voilà donc tous les rapports postés.

Merci beaucoup.

Est-il nécessaire que j'effectue les manipulations proposées pas angelique, que je remercie ?

Antoine

angelique · le 6 avril 2008

Est-il nécessaire que j'effectue les manipulations proposées pas angelique, que je remercie ?
Antoine

oui , c'est essentiel!

antoineL · le 6 avril 2008

oui , c'est essentiel!

J'ai donc tout fait. Neanmoins, apres avoir autorisé MSNFix à supprimer une infection trouvée, je suis parti manger durant 15-20 min et à mon retour, une fenetre type microsoft windows m'indiquait un probleme avec le fichier uploadé \system32\%%%%%% et s'excusant de la gene occasionnée.

J'ai hésité à refaire un scan MSNFix, que je n'ai pas fait finalement, doutant de l'utilité d'en refaire un.

Je t'envois tous les rapports

-----------------------------------------------------------------------------------------------------

Rapport OTMoveIt2

< C:\WINDOWS\system32\%%%%%.exe >

File/Folder C:\WINDOWS\system32\%%%%%.exe not found.

< EmptyTemp >

File delete failed. C:\WINDOWS\temp\Perflib_Perfdata_6a8.dat scheduled to be deleted on reboot.

Temp folders emptied.

IE temp folders emptied.

OTMoveIt2 by OldTimer - Version 1.0.4.0 log created on 04062008_213055

Files moved on Reboot...

File move failed. C:\WINDOWS\temp\Perflib_Perfdata_6a8.dat scheduled to be moved on reboot.

-----------------------------------------------------------------------------------------------

Rapoort MSNFix

MSNFix 1.700

C:\Documents and Settings\Lortie\Bureau\MSNFix

Fix exécuté le 06/04/2008 - 20:47:01,15 By Lortie

mode normal

************************ Recherche les fichiers présents

... C:\WINDOWS\system32\%%%%%.exe

************************ Recherche les dossiers présents

Aucun dossier trouvé

************************ Suppression des fichiers

.. OK ... C:\WINDOWS\system32\%%.exe

/!\ ... C:\WINDOWS\system32\%%%%%.exe

************************ Nettoyage du registre

Les fichiers encore présents seront supprimés au prochain redémarrage

************************ Suppression des fichiers

.. OK ... C:\WINDOWS\system32\real.txt

.. OK ... C:\WINDOWS\system32\%%.exe

************************ Fichiers suspects

Aucun Fichier trouvé

Les fichiers et clés de registre supprimés ont été sauvegardés dans le fichier 06042008_21132370.zip

************************ HKLM\...\Winlogon\Userinit

Userinit = C:\WINDOWS\system32\userinit.exe,

------------------------------------------------------------------------

Auteur : !aur3n7 Contact: http://changelog.fr