Worm Netbooster

le 13 avril 2008

bonjour,

j'ai été infecté hier par le worm netbooster via un téléchargement volontaire (sic) de fichier activeX...

Bien entendu Norton bloque certaines causes du worm mais ne voit rien. J'ai spybot et Ad aware également mais inutile églament.

Bref j'ai successivement tenté smitfraudfix (qui a du faire un truc pas trop mal car je n'ai plus que des fenetres intempestives maintenant au lieu du blocage du gestionnaire des taches...) mais bon le worm est toujous là...

Voici le log Hijackthis (j'ai déjà virer la toolbar avec les faux AV avec "FixChecked" et c'est tout):

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 12:30:38, on 13/04/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16640)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Symantec\LiveUpdate\AluSchedulerSvc.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Documents and Settings\All Users\Application Data\urapobqx\ixotspqf.exe

C:\Program Files\Logitech\G-series Software\LGDCore.exe

C:\Program Files\Logitech\G-series Software\LCDMon.exe

C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\WINDOWS\system32\cpupyhkv.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe

C:\Program Files\Logitech\G-series Software\Applets\LCDPop3\LCDPOP3.exe

C:\Program Files\Logitech\G-series Software\Applets\LCDMedia.exe

C:\Program Files\Logitech\G-series Software\Applets\LCDClock.exe

C:\PROGRA~1\FICHIE~1\SYMANT~1\CCPD-LC\symlcsvc.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Documents and Settings\XXXXXXXXXX\Local Settings\Temporary Internet Files\Content.IE5\2BL56L7L\HiJackThis[1].exe

C:\Program Files\Internet Explorer\iexplore.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)

O2 - BHO: (no name) - {02715E47-5A8E-495B-8F63-0D30470B8E72} - C:\WINDOWS\system32\pmnkKBRK.dll

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: (no name) - {60F34084-2842-4E26-880F-6BF6ABE98465} - C:\WINDOWS\system32\rqRHWNfe.dll (file missing)

O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - C:\PROGRA~1\FICHIE~1\SYMANT~1\IDS\IPSBHO.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: (no name) - {A019C80B-CCFF-45F7-BA49-473D6E61FCC6} - C:\WINDOWS\system32\awtrRIYP.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll

O4 - HKLM\..\Run: [Launch LGDCore] "C:\Program Files\Logitech\G-series Software\LGDCore.exe" /SHOWHIDE

O4 - HKLM\..\Run: [Launch LCDMon] "C:\Program Files\Logitech\G-series Software\LCDMon.exe"

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [osCheck] "C:\Program Files\Norton AntiVirus\osCheck.exe"

O4 - HKLM\..\Run: [784ca5b0] rundll32.exe "C:\WINDOWS\system32\imligmtc.dll",b

O4 - HKLM\..\RunOnce: [symLnch] "C:\Documents and Settings\XXXXXXXXXX\Application Data\Symantec\Layouts\Norton AntiVirus\15.0\SymAllLanguages\NAV_ESD\20070828\Support\SymLnch\SymLnch.exe" "C:\Documents and Settings\XXXXXXXXXX\Application Data\Symantec\Layouts\Norton AntiVirus\15.0\SymAllLanguages\NAV_ESD\20070828\Setup.exe" "/REALUPREBOOT /temp /patched"

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - HKCU\..\Run: [baejfdzu] C:\WINDOWS\system32\cpupyhkv.exe

O4 - HKCU\..\Run: [ucgzxfau] C:\WINDOWS\system32\uhclwpqz.exe

O4 - HKLM\..\Policies\Explorer\Run: [MUYhE9Aeus] C:\Documents and Settings\All Users\Application Data\urapobqx\ixotspqf.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll

O9 - Extra button: Unibet Poker - {C53BFCFC-7A54-4627-AEBA-2CD4871FCA97} - C:\Microgaming\Poker\UnibetpokerMPP\MPPoker.exe

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {34F12AFD-E9B5-492A-85D2-40FA4535BE83} (AxProdInfoCtl Class) - http://www.symantec.com/techsupp/activedata/nprdtinf.cab

O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://download.divx.com/player/DivXBrowserPlugin.cab

O16 - DPF: {6A344D34-5231-452A-8A57-D064AC9B7862} (Symantec Download Manager) - https://webdl.symantec.com/activex/symdlmgr.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shoc...ash/swflash.cab

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL

O20 - Winlogon Notify: pmnkKBRK - C:\WINDOWS\SYSTEM32\pmnkKBRK.dll

O23 - Service: Automatic LiveUpdate Scheduler - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\AluSchedulerSvc.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe

O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: LiveUpdate - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\LuComServer_3_4.EXE

O23 - Service: LiveUpdate Notice - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe

O23 - Service: Planificateur LiveUpdate automatique - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe

O23 - Service: Symantec Core LC - Unknown owner - C:\PROGRA~1\FICHIE~1\SYMANT~1\CCPD-LC\symlcsvc.exe

--

End of file - 8375 bytes

Merci pour votre aide.

ps: le 2e O2 n'apparait pas dans la liste du tutorial

Modifié le 17 avril 2008 par ipl_001
Effacement de l'identité dans le rapport HJT

chrifleur · le 13 avril 2008

bonjour et bienvenue

Télécharge combofix.exe (par sUBs) sur ton Bureau

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

tutoriel pour l'utiliser

http://www.bleepingcomputer.com/combofix/f...iliser-combofix

désactive ton antivirus, antispyware, et Spybot (résident) durant l'utilisation de ComboFix . Merci. Tu le réactiveras ensuite.

Double clique combofix.exe.

Tape sur la touche Y (Yes) pour démarrer le scan.

Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse

NOTE : Le rapport se trouve également ici : C:\Combofix.txt

Modifié le 13 avril 2008 par chrifleur

le 13 avril 2008

Bonjour et merci pour la réponse.

J'ai cependant un problème pour utiliser combofix: le message suivant apparait:

"Some installation files are corrupt. Please download a fresh copy"

chrifleur · le 13 avril 2008

supprime la version que tu as et retélécharge le...puis scanne ton Pc

le 13 avril 2008

Ok, donc j'ai suivi la procédue pour la console de démarrage. Le log est le suivant:

WindowsXP-KB310994-SP2-Home-BootDisk-FRA.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP ?dition familiale" /fastdetect /NoExecute=OptIn

C:\CMDCONS\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

je continue sur le scan PC et je poste ça de suite

le 13 avril 2008

Voici le log combofix, apparement il y avait du boulot...

ComboFix 08-04-12.10 - Nicolas xxxxxx 2008-04-13 17:48:27.1 - NTFSx86

Microsoft Windows XP Édition familiale 5.1.2600.2.1252.1.1036.18.698 [GMT 2:00]

Endroit: C:\Documents and Settings\Nicolas xxxxxx\Bureau\ComboFix.exe

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

C:\Documents and Settings\Nicolas xxxxxx\Bureaublackbird.jpg

C:\Documents and Settings\Nicolas xxxxxx\BureauEditorFKWP1.5.exe

C:\Documents and Settings\Nicolas xxxxxx\BureauEditorFKWP2.0.exe

C:\Documents and Settings\Nicolas xxxxxx\Bureaufilemanagerclient.exe

C:\Documents and Settings\Nicolas xxxxxx\Bureaufkwp1.5.exe

C:\Documents and Settings\Nicolas xxxxxx\Bureaufkwp2.0.exe

C:\Documents and Settings\Nicolas xxxxxx\Bureaufwebd.exe

C:\Documents and Settings\Nicolas xxxxxx\BureauFWebdEditor.exe

C:\Documents and Settings\Nicolas xxxxxx\BureauTrojan.Win32.BlackBird.exe

C:\Documents and Settings\Nicolas xxxxxx\Bureauvirii

C:\Program Files\PC-Cleaner

C:\Program Files\PC-Cleaner\PC-Cleaner.db

C:\Program Files\PC-Cleaner\pccleaner.pkg

C:\Program Files\PC-Cleaner\program.info

C:\WINDOWS\Downloaded Program Files\setup.inf

C:\WINDOWS\install.exe

C:\WINDOWS\rs.txt

C:\WINDOWS\system32\awtrRIYP.dll

C:\WINDOWS\system32\boggylpk.dll

C:\WINDOWS\system32\ctmgilmi.ini

C:\WINDOWS\system32\efNWHRqr.ini

C:\WINDOWS\system32\efNWHRqr.ini2

C:\WINDOWS\system32\imligmtc.dll

C:\WINDOWS\system32\kplyggob.ini

C:\WINDOWS\system32\pmnkKBRK.dll

C:\WINDOWS\system32\PYIRrtwa.ini

C:\WINDOWS\system32\PYIRrtwa.ini2

C:\WINDOWS\system32bdn.com

C:\WINDOWS\system32hxiwlgpm.dat

C:\WINDOWS\system32ssvchost.com

C:\WINDOWS\system32taack.dat

C:\WINDOWS\system32VBIEWER.OCX

.

((((((((((((((((((((((((((((( Fichiers cr‚‚s 2008-03-13 to 2008-04-13 ))))))))))))))))))))))))))))))))))))

.

2008-04-13 17:39 . 2008-04-13 17:39 3,648 --a------ C:\WINDOWS\system32\hinggtdr.dll

2008-04-12 17:51 . 2008-04-12 18:22 2,230 --a------ C:\WINDOWS\system32\tmp.reg

2008-04-12 16:52 . 2008-04-12 16:52 114,688 --a------ C:\WINDOWS\system32\uhclwpqz.exe

2008-04-12 16:07 . 2008-04-12 16:07 <REP> d----c--- C:\Documents and Settings\Nicolas xxxxxx\Application Data\TmpRecentIcons

2008-04-12 15:05 . 2008-04-12 15:02 691,545 --a------ C:\WINDOWS\unins000.exe

2008-04-12 15:05 . 2008-04-12 15:05 2,553 --a------ C:\WINDOWS\unins000.dat

2008-04-12 14:32 . 2008-04-12 16:09 354 ---hs---- C:\WINDOWS\system32\cpuxjpdd.ini

2008-04-12 14:09 . 2008-04-12 14:09 <REP> d----c--- C:\Documents and Settings\All Users\Application Data\urapobqx

2008-04-12 14:09 . 2008-04-12 12:04 212,992 --a------ C:\WINDOWS\nslbvxpgbrg.dll

2008-04-12 14:09 . 2008-04-12 12:04 151,552 --a------ C:\WINDOWS\sgoblxtm.dll

2008-04-12 14:09 . 2008-04-12 14:09 106,496 --a------ C:\WINDOWS\system32\cpupyhkv.exe

2008-04-12 14:09 . 2008-04-12 12:04 81,920 --a------ C:\WINDOWS\spnkfwad.exe

2008-04-05 17:55 . 2008-04-05 17:55 <REP> d----c--- C:\Documents and Settings\Nicolas xxxxxx\Application Data\PokerAcademy2

2008-04-05 17:55 . 2008-04-05 17:55 <REP> d----c--- C:\Documents and Settings\All Users\Application Data\PokerAcademy2

2008-04-05 17:54 . 2008-04-05 18:18 <REP> d-------- C:\Program Files\PokerAcademy2

2008-04-04 23:20 . 2008-04-04 23:20 <REP> d-------- C:\Program Files\Windows Sidebar

2008-04-04 23:20 . 2008-04-04 23:48 <REP> d-------- C:\Program Files\Norton AntiVirus

2008-04-04 23:19 . 2008-04-04 23:42 123,952 --a------ C:\WINDOWS\system32\drivers\SYMEVENT.SYS

2008-04-04 23:19 . 2008-04-04 23:42 60,800 --a------ C:\WINDOWS\system32\S32EVNT1.DLL

2008-04-04 23:19 . 2008-04-04 23:42 10,740 --a------ C:\WINDOWS\system32\drivers\SYMEVENT.CAT

2008-04-04 23:19 . 2008-04-04 23:42 805 --a------ C:\WINDOWS\system32\drivers\SYMEVENT.INF

2008-04-04 22:43 . 2008-04-04 22:43 <REP> d----c--- C:\Documents and Settings\All Users\Symantec Temporary Files

2008-03-29 17:25 . 2008-03-29 17:25 <REP> d----c--- C:\Microgaming

2008-03-19 23:01 . 2008-03-19 23:03 <REP> d----c--- C:\Capitalism II

2008-03-15 18:08 . 2008-03-19 22:02 <REP> d-------- C:\Program Files\Capitalism II Demo

2008-03-14 19:59 . 2008-03-15 11:43 <REP> d-------- C:\Program Files\CARTEL's EUROS 3000

2008-03-14 19:59 . 2008-03-14 19:59 253,952 --------- C:\WINDOWS\Setup1.exe

2008-03-14 19:59 . 2008-03-14 19:59 74,752 --a------ C:\WINDOWS\ST6UNST.EXE

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-04-12 13:10 --------- d-----w C:\Program Files\Spybot - Search & Destroy

2008-04-05 10:05 --------- d-----w C:\Program Files\Fichiers communs\Symantec Shared

2008-04-04 21:42 --------- d-----w C:\Program Files\Symantec

2008-04-04 21:39 --------- dc----w C:\Documents and Settings\All Users\Application Data\Symantec

2008-04-04 21:26 --------- dc----w C:\Documents and Settings\Nicolas xxxxxx\Application Data\Symantec

2008-03-29 20:09 --------- dc----w C:\Documents and Settings\Nicolas xxxxxx\Application Data\Microgaming

2008-03-25 21:12 --------- d-----w C:\Program Files\Java

2008-03-19 21:01 --------- d--h--w C:\Program Files\InstallShield Installation Information

2008-03-13 21:51 --------- d-----w C:\Program Files\Microsoft Money 2005

2008-03-06 19:32 706 ----a-w C:\WINDOWS\system32\drivers\COH_Mon.inf

2008-03-06 19:32 23,904 ----a-w C:\WINDOWS\system32\drivers\COH_Mon.sys

2008-03-06 19:32 10,537 ----a-w C:\WINDOWS\system32\drivers\coh_mon.cat

.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))

.

REGEDIT4

*Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{60F34084-2842-4E26-880F-6BF6ABE98465}]

C:\WINDOWS\system32\rqRHWNfe.dll

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{6D53EC84-6AAE-4787-AEEE-F4628F01010C}]

2008-04-04 23:43 116088 --a------ C:\PROGRA~1\FICHIE~1\SYMANT~1\IDS\IPSBHO.dll

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-20 01:09 15360]

"swg"="C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-07-03 21:56 68856]

"baejfdzu"="C:\WINDOWS\system32\cpupyhkv.exe" [2008-04-12 14:09 106496]

"ucgzxfau"="C:\WINDOWS\system32\uhclwpqz.exe" [2008-04-12 16:52 114688]

"wrekxhdn"="C:\WINDOWS\system32\ipuridap.exe" [2008-04-13 17:55 110592]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Launch LGDCore"="C:\Program Files\Logitech\G-series Software\LGDCore.exe" [2006-03-06 17:31 1122304]

"Launch LCDMon"="C:\Program Files\Logitech\G-series Software\LCDMon.exe" [2006-03-06 17:14 497152]

"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe" [2008-02-22 05:25 144784]

"TkBellExe"="C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" [2007-10-28 09:49 185632]

"ccApp"="C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe" [2008-02-14 11:01 51048]

"osCheck"="C:\Program Files\Norton AntiVirus\osCheck.exe" [2007-08-24 22:53 714608]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]

"SymLnch"="C:\Documents and Settings\Nicolas xxxxxx\Application Data\Symantec\Layouts\Norton AntiVirus\15.0\SymAllLanguages\NAV_ESD\20070828\Support\SymLnch\SymLnch.exe" [ ]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-20 01:09 15360]

"ALUAlert"="C:\Program Files\Symantec\LiveUpdate\ALUNotify.exe" [2007-08-23 14:35 152952]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer\run]

"MUYhE9Aeus"= C:\Documents and Settings\All Users\Application Data\urapobqx\ixotspqf.exe

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\pmnkKBRK]

pmnkKBRK.dll

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^InterVideo WinCinema Manager.lnk]

path=C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\InterVideo WinCinema Manager.lnk

backup=C:\WINDOWS\pss\InterVideo WinCinema Manager.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Lancement rapide d'Adobe Reader.lnk]

path=C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Lancement rapide d'Adobe Reader.lnk

backup=C:\WINDOWS\pss\Lancement rapide d'Adobe Reader.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Logitech Desktop Messenger.lnk]

path=C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Logitech Desktop Messenger.lnk

backup=C:\WINDOWS\pss\Logitech Desktop Messenger.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Microsoft Office.lnk]

path=C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Microsoft Office.lnk

backup=C:\WINDOWS\pss\Microsoft Office.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^PyGrenouille.lnk]

path=C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\PyGrenouille.lnk

backup=C:\WINDOWS\pss\PyGrenouille.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\784ca5b0]

C:\WINDOWS\system32\ddpjxupc.dll

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ATICCC]

--a------ 2005-08-12 15:43 45056 C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ccApp]

--a------ 2008-02-14 11:01 51048 C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ccRegVfy]

C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CloneCDTray]

C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Configuration de la neuf Box]

--------- 2005-12-13 15:19 389120 C:\Program Files\neuf telecom\neuf Box\Wizard\QuickAccess.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\GhostStartTrayApp]

C:\Program Files\Norton\Norton Ghost\GhostStartTrayApp.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ICQ Lite]

C:\Program Files\ICQLite\ICQLite.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LDM]

--a------ 2004-10-17 19:25 16384 C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LogitechVideoRepair]

--a------ 2003-12-16 22:37 188416 C:\Program Files\Logitech\Video\ISStart.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LogitechVideoTray]

--a------ 2003-12-16 22:39 77824 C:\Program Files\Logitech\Video\LogiTray.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroCheck]

--a--c--- 2001-07-09 12:50 155648 C:\WINDOWS\system32\NeroCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PCTVOICE]

--a------ 2002-08-14 17:48 167936 C:\WINDOWS\system32\pctspk.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]

--a------ 2005-05-09 17:52 98304 C:\Program Files\QuickTime\qttask.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\swg]

--a------ 2007-07-03 21:56 68856 C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Symantec NetDriver Monitor]

C:\PROGRA~1\SYMNET~1\SNDMon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TkBellExe]

--a------ 2007-10-28 09:49 185632 C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WinampAgent]

--a------ 2008-01-16 00:54 37376 C:\Program Files\Winamp\winampa.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]

"SymWSC"=2 (0x2)

"Speed Disk service"=2 (0x2)

"SBService"=2 (0x2)

"Pctspk"=2 (0x2)

"GhostStartService"=2 (0x2)

"ATI Smart"=2 (0x2)

"Ati HotKey Poller"=2 (0x2)

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]

"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]

"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]

"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"C:\\WINDOWS\\system32\\dpvsetup.exe"=

"C:\\Program Files\\Logitech\\Desktop Messenger\\8876480\\Program\\backWeb-8876480.exe"=

"C:\\Program Files\\B2BPOKER\\Unibet Poker\\jre\\bin\\javaw.exe"=

"C:\\Program Files\\Messenger\\msmsgs.exe"=

"C:\\Program Files\\Real\\RealOne Player\\realplay.exe"=

"C:\\WINDOWS\\system32\\rundll32.exe"=

"C:\\Program Files\\Cyanide\\Horse Racing Manager\\GAMEHR.EXE"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"=

"C:\\Program Files\\MSN Messenger\\livecall.exe"=

"C:\\Program Files\\Skype\\Phone\\Skype.exe"=

"C:\\Program Files\\Port Royale\\PortRoyale.exe"=

"C:\\Program Files\\SopCast\\SopCast.exe"=

"C:\\Program Files\\Sports Interactive\\Football Manager 2008\\fm.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"3724:TCP"= 3724:TCP:Blizzard Downloader: 3724

"10094:TCP"= 10094:TCP:fm

"10093:UDP"= 10093:UDP:fm2

"10094:UDP"= 10094:UDP:fm3

"10093:TCP"= 10093:TCP:fm4

R0 xmasbus;xmasbus;C:\WINDOWS\system32\DRIVERS\xmasbus.sys [2003-12-21 18:24]

R0 xmasscsi;xmasscsi;C:\WINDOWS\system32\Drivers\xmasscsi.sys [2003-12-23 03:15]

R2 LiveUpdate Notice;LiveUpdate Notice;"C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe" /h ccCommon []

R3 AN983;ADMtek AN983/AN985/ADM951X 10/100Mbps Fast Ethernet Adapter;C:\WINDOWS\system32\DRIVERS\AN983.sys [2002-10-28 09:23]

S3 COH_Mon;COH_Mon;C:\WINDOWS\system32\Drivers\COH_Mon.sys [2008-03-06 21:32]

S3 EraserUtilDrvI3;EraserUtilDrvI3;C:\Program Files\Fichiers communs\Symantec Shared\EENGINE\EraserUtilDrvI3.sys []

S3 fbxusb;FreeBox USB Network Adapter;C:\WINDOWS\system32\DRIVERS\fbxusb.sys [2003-12-31 12:35]

S3 gsplittm;gsplittm;C:\DOCUME~1\NICOLA~1\LOCALS~1\Temp\gsplittm.sys []

S3 Ptserlp;PCTEL Serial Device Driver for PCI;C:\WINDOWS\system32\DRIVERS\ptserlp.sys [2001-08-17 22:28]

S3 scsiprnt;Classe d'imprimantes générique Microsoft SCSI/1394;C:\WINDOWS\system32\DRIVERS\scsiprnt.sys [2001-08-17 22:52]

S4 Pctspk;PCTEL Speaker Phone;C:\WINDOWS\system32\pctspk.exe [2002-08-14 17:48]

.

Contenu du dossier 'Scheduled Tasks/Tƒches planifi‚es'

"2008-04-04 21:25:55 C:\WINDOWS\Tasks\Norton AntiVirus - Effectuer une analyse complète du système - Nicolas xxxxxx.job"

Que dois-je faire maintenant svp?

chrifleur · le 13 avril 2008

rapport combofix en examen

je reviens avec la suite

le 13 avril 2008

ok merci beaucoup.

Par contre j'ai encore eu une (fausse) alerte de virus

Ci dessous le nouveau log Hijackthis:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 18:14, on 2008-04-13

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16640)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Symantec\LiveUpdate\AluSchedulerSvc.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Documents and Settings\All Users\Application Data\urapobqx\ixotspqf.exe

C:\Program Files\Logitech\G-series Software\LGDCore.exe

C:\Program Files\Logitech\G-series Software\LCDMon.exe

C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\WINDOWS\system32\uhclwpqz.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe

C:\Program Files\Logitech\G-series Software\Applets\LCDPop3\LCDPOP3.exe

C:\Program Files\Logitech\G-series Software\Applets\LCDMedia.exe

C:\Program Files\Logitech\G-series Software\Applets\LCDClock.exe

C:\PROGRA~1\FICHIE~1\SYMANT~1\CCPD-LC\symlcsvc.exe

C:\Program Files\internet explorer\iexplore.exe

C:\Documents and Settings\Nicolas xxxxxx\Local Settings\Temporary Internet Files\Content.IE5\16DGPTZ5\HiJackThis[1].exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896