et encore une infection ... (au moins une !)

[evelynem]

Bonjour à tous

 

quelques temps sans mettre à jour l'antivirus et voilà le résultat : un pc infecté.

Qui pourrait m'aider à éradiquer tout ça ?

 

cordialement;

 

 

************************************************************************

RAPPORT HIJACK :

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 18:49:59, on 04/06/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Program Files\Bonjour\mDNSResponder.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe

C:\WINDOWS\system32\ezSP_Px.exe

C:\PROGRA~1\FICHIE~1\PCSuite\DATALA~1\DATALA~1.EXE

C:\Program Files\Fichiers communs\InstallShield\UpdateService\issch.exe

C:\Program Files\QuickTime\QTTask.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\Messenger\msmsgs.exe

C:\WINDOWS\system32\ctfmon.exe

C:\PROGRA~1\FICHIE~1\PCSuite\Services\SERVIC~1.EXE

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exe

C:\Program Files\FinePixViewer\QuickDCF.exe

C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

C:\Program Files\Sony\Sony Picture Utility\PMBCore\SPUVolumeWatcher.exe

C:\Program Files\HP\Digital Imaging\bin\hpqgalry.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avcenter.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avscan.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\WINDOWS\system32\macromed\flash\GetFlash.exe

C:\Program Files\HijackThis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [REGSHAVE] C:\Program Files\REGSHAVE\REGSHAVE.EXE /AUTORUN

O4 - HKLM\..\Run: [bron-Spizaetus] "C:\WINDOWS\INF\norBtok.exe"

O4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\system32\ezSP_Px.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [YeppStudioAgent] C:\Program Files\Samsung\SamsungMediaStudio4.1\SamsungMediaStudioAgent.exe

O4 - HKLM\..\Run: [DataLayer] C:\PROGRA~1\FICHIE~1\PCSuite\DATALA~1\DATALA~1.EXE

O4 - HKLM\..\Run: [iSUSPM Startup] "C:\Program Files\Fichiers communs\InstallShield\UpdateService\isuspm.exe" -startup

O4 - HKLM\..\Run: [iSUSScheduler] "C:\Program Files\Fichiers communs\InstallShield\UpdateService\issch.exe" -start

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [Tok-Cirrhatus] "C:\Documents and Settings\lederberger\Local Settings\Application Data\smss.exe"

O4 - HKCU\..\Run: [NBJ] "C:\Program Files\Ahead\Nero BackItUp\NBJ.exe"

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [svcshare] C:\WINDOWS\system32\drivers\spoclsv.exe

O4 - HKCU\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Startup: Outil de détection de support Picture Motion Browser.lnk = C:\Program Files\Sony\Sony Picture Utility\PMBCore\SPUVolumeWatcher.exe

O4 - Global Startup: Contrôleur de calendrier Ulead.lnk = C:\Program Files\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exe

O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe

O4 - Global Startup: Exif Launcher.lnk = ?

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O23 - Service: Avira AntiVir Personal – Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe

O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: MSCSPTISRV - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\MSCSPTISRV.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: PACSPTISVR - Unknown owner - C:\Program Files\Fichiers communs\Sony Shared\AVLib\PACSPTISVR.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SPTISRV.exe

O24 - Desktop Component 0: (no name) - file:///C:/DOCUME~1/LEDERB~1/LOCALS~1/Temp/msohtml1/03/clip_image002.jpg

 

--

End of file - 7264 bytes

 

 

************************************************************************

RAPPORT ANTIVIR :

 

 

 

Avira AntiVir Personal

Report file date: mercredi 4 juin 2008 18:34

 

Scanning for 1310630 virus strains and unwanted programs.

 

Licensed to: Avira AntiVir PersonalEdition Classic

Serial number: 0000149996-ADJIE-0001

Platform: Windows XP

Windows version: (Service Pack 2) [5.1.2600]

Boot mode: Normally booted

Username: SYSTEM

Computer name: LEDERBER-B52E3F

 

Version information:

BUILD.DAT : 8.1.00.295 16479 Bytes 09/04/2008 16:24:00

AVSCAN.EXE : 8.1.2.12 311553 Bytes 18/03/2008 09:02:56

AVSCAN.DLL : 8.1.1.0 53505 Bytes 07/02/2008 08:43:37

LUKE.DLL : 8.1.2.9 151809 Bytes 28/02/2008 08:41:23

LUKERES.DLL : 8.1.2.1 12033 Bytes 21/02/2008 08:28:40

ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18/07/2007 10:33:34

ANTIVIR1.VDF : 7.0.3.2 5447168 Bytes 07/03/2008 13:08:58

ANTIVIR2.VDF : 7.0.4.120 2206720 Bytes 01/06/2008 16:32:08

ANTIVIR3.VDF : 7.0.4.146 99840 Bytes 05/06/2008 16:32:09

Engineversion : 8.1.0.51

AEVDF.DLL : 8.1.0.5 102772 Bytes 25/02/2008 09:58:21

AESCRIPT.DLL : 8.1.0.37 270715 Bytes 04/06/2008 16:32:33

AESCN.DLL : 8.1.0.20 119157 Bytes 04/06/2008 16:32:31

AERDL.DLL : 8.1.0.20 418165 Bytes 04/06/2008 16:32:30

AEPACK.DLL : 8.1.1.5 364918 Bytes 04/06/2008 16:32:28

AEOFFICE.DLL : 8.1.0.18 192890 Bytes 04/06/2008 16:32:25

AEHEUR.DLL : 8.1.0.29 1253750 Bytes 04/06/2008 16:32:24

AEHELP.DLL : 8.1.0.15 115063 Bytes 04/06/2008 16:32:15

AEGEN.DLL : 8.1.0.25 307573 Bytes 04/06/2008 16:32:14

AEEMU.DLL : 8.1.0.6 430451 Bytes 04/06/2008 16:32:12

AECORE.DLL : 8.1.0.30 168311 Bytes 04/06/2008 16:32:10

AVWINLL.DLL : 1.0.0.7 14593 Bytes 23/01/2008 17:07:53

AVPREF.DLL : 8.0.0.1 25857 Bytes 18/02/2008 10:37:50

AVREP.DLL : 7.0.0.1 155688 Bytes 16/04/2007 13:26:47

AVREG.DLL : 8.0.0.0 30977 Bytes 23/01/2008 17:07:49

AVARKT.DLL : 1.0.0.23 307457 Bytes 12/02/2008 08:29:23

AVEVTLOG.DLL : 8.0.0.11 114945 Bytes 28/02/2008 08:31:31

SQLITE3.DLL : 3.3.17.1 339968 Bytes 22/01/2008 17:28:02

SMTPLIB.DLL : 1.2.0.19 28929 Bytes 23/01/2008 17:08:39

NETNT.DLL : 8.0.0.1 7937 Bytes 25/01/2008 12:05:10

RCIMAGE.DLL : 8.0.0.35 2371841 Bytes 10/03/2008 14:37:25

RCTEXT.DLL : 8.0.32.0 86273 Bytes 06/03/2008 12:02:11

 

Configuration settings for the scan:

Jobname..........................: Complete system scan

Configuration file...............: c:\program files\avira\antivir personaledition classic\sysscan.avp

Logging..........................: low

Primary action...................: interactive

Secondary action.................: ignore

Scan master boot sector..........: on

Scan boot sector.................: on

Boot sectors.....................: C:,

Scan memory......................: on

Process scan.....................: on

Scan registry....................: on

Search for rootkits..............: off

Scan all files...................: Intelligent file selection

Scan archives....................: on

Recursion depth..................: 20

Smart extensions.................: on

Macro heuristic..................: on

File heuristic...................: medium

 

Start of the scan: mercredi 4 juin 2008 18:34

 

The scan of running processes will be started

Scan process 'avscan.exe' - '1' Module(s) have been scanned

Scan process 'avcenter.exe' - '1' Module(s) have been scanned

Scan process 'wuauclt.exe' - '1' Module(s) have been scanned

Scan process 'sched.exe' - '1' Module(s) have been scanned

Scan process 'avgnt.exe' - '1' Module(s) have been scanned

Scan process 'avguard.exe' - '1' Module(s) have been scanned

Scan process 'wuauclt.exe' - '1' Module(s) have been scanned

Scan process 'wmiprvse.exe' - '1' Module(s) have been scanned

Scan process 'hpqgalry.exe' - '1' Module(s) have been scanned

Scan process 'SPUVolumeWatcher.exe' - '1' Module(s) have been scanned

Scan process 'hpqtra08.exe' - '1' Module(s) have been scanned

Scan process 'QuickDCF.exe' - '1' Module(s) have been scanned

Scan process 'CalCheck.exe' - '1' Module(s) have been scanned

Scan process 'iPodService.exe' - '1' Module(s) have been scanned

Scan process 'SERVIC~1.EXE' - '1' Module(s) have been scanned

Scan process 'ctfmon.exe' - '1' Module(s) have been scanned

Scan process 'msmsgs.exe' - '1' Module(s) have been scanned

Scan process 'iTunesHelper.exe' - '1' Module(s) have been scanned

Scan process 'QTTask.exe' - '1' Module(s) have been scanned

Scan process 'issch.exe' - '1' Module(s) have been scanned

Scan process 'DATALA~1.EXE' - '1' Module(s) have been scanned

Scan process 'ezSP_Px.exe' - '1' Module(s) have been scanned

Scan process 'PDVDServ.exe' - '1' Module(s) have been scanned

Scan process 'alg.exe' - '1' Module(s) have been scanned

Scan process 'wmpnetwk.exe' - '1' Module(s) have been scanned

Scan process 'explorer.exe' - '1' Module(s) have been scanned

Scan process 'svchost.exe' - '1' Module(s) have been scanned

Scan process 'nvsvc32.exe' - '1' Module(s) have been scanned

Scan process 'MDM.EXE' - '1' Module(s) have been scanned

Scan process 'svchost.exe' - '1' Module(s) have been scanned

Scan process 'mDNSResponder.exe' - '1' Module(s) have been scanned

Scan process 'AppleMobileDeviceService.exe' - '1' Module(s) have been scanned

Scan process 'spoolsv.exe' - '1' Module(s) have been scanned

Scan process 'svchost.exe' - '1' Module(s) have been scanned

Scan process 'svchost.exe' - '1' Module(s) have been scanned

Scan process 'svchost.exe' - '1' Module(s) have been scanned

Scan process 'svchost.exe' - '1' Module(s) have been scanned

Scan process 'svchost.exe' - '1' Module(s) have been scanned

Scan process 'svchost.exe' - '1' Module(s) have been scanned

Scan process 'lsass.exe' - '1' Module(s) have been scanned

Scan process 'services.exe' - '1' Module(s) have been scanned

Scan process 'winlogon.exe' - '1' Module(s) have been scanned

Scan process 'csrss.exe' - '1' Module(s) have been scanned

Scan process 'smss.exe' - '1' Module(s) have been scanned

44 processes with 44 modules were scanned

 

Starting master boot sector scan:

Master boot sector HD0

[iNFO] No virus was found!

 

Start scanning boot sectors:

Boot sector 'C:\'

[iNFO] No virus was found!

 

Starting to scan the registry.

The registry was scanned ( '35' files ).

 

 

Starting the file scan:

 

Begin scan in 'C:\' <lederb>

C:\hiberfil.sys

[WARNING] The file could not be opened!

C:\pagefile.sys

[WARNING] The file could not be opened!

C:\setup.exe

[DETECTION] Is the Trojan horse TR/Proxy.Delf.CA

[NOTE] The file was moved to '48bac491.qua'!

C:\Documents and Settings\All Users\Application Data\Avira\AntiVir PersonalEdition Classic\INFECTED\48bac491.qua

[0] Archive type: HIDDEN

--> FIL\\\?\C:\Documents and Settings\All Users\Application Data\Avira\AntiVir PersonalEdition Classic\INFECTED\48bac491.qua

[DETECTION] Is the Trojan horse TR/Proxy.Delf.CA

[NOTE] The file was moved to '48a8c498.qua'!

C:\Documents and Settings\lederb\Mes documents\Ma musique\project x\Partish\ossef 1\Oad moshkovitz\Nouveau dossier (3)\Nouveau dossier (2)\Nouveau dossier\Neshama\m_b_d\My Playlists\My Music\MORDEHAY BEN DAVID\MAAMINIM BNEI MAAMINIM\MAAMINIM BNEI MAAMINIM.exe

[DETECTION] Contains detection pattern of the worm WORM/VB.ay.2

[NOTE] The file was moved to '4887c7f2.qua'!

C:\Documents and Settings\lederb\Mes documents\Ma musique\project x\Partish\ossef 1\Oad moshkovitz\Nouveau dossier (3)\Nouveau dossier (2)\Nouveau dossier\Neshama\m_b_d\My Playlists\My Music\MORDEHAY BEN DAVID\Mona II\Mona I\Moche Rosenblum\Chema Kolénou\Chema Kolénou.exe

[DETECTION] Contains detection pattern of the worm WORM/VB.ay.2

[NOTE] The file was moved to '48abc81e.qua'!

C:\Documents and Settings\lederb\Mes documents\Ma musique\project x\Partish\ossef 1\Oad moshkovitz\Nouveau dossier (3)\Nouveau dossier (2)\Nouveau dossier\Neshama\m_b_d\My Playlists\My Music\MORDEHAY BEN DAVID\Mona II\Mona I\Moche Rosenblum\michael shtreicher\01 KOACH HATFILA\01 KOACH HATFILA.exe

[DETECTION] Contains detection pattern of the worm WORM/VB.ay.2

[NOTE] The file was moved to '4866c7e8.qua'!

C:\Documents and Settings\lederb\Mes documents\Ma musique\project x\Partish\ossef 1\Oad moshkovitz\Nouveau dossier (3)\Nouveau dossier (2)\Nouveau dossier\Neshama\m_b_d\My Playlists\My Music\MORDEHAY BEN DAVID\Mona II\Mona I\Moche Rosenblum\michael shtreicher\02 KOACH HATORA\02 KOACH HATORA.exe

[DETECTION] Contains detection pattern of the worm WORM/VB.ay.2

[NOTE] The file was moved to '4866c7ea.qua'!

C:\Documents and Settings\lederb\Mes documents\Ma musique\project x\Partish\ossef 1\Oad moshkovitz\Nouveau dossier (3)\Nouveau dossier (2)\Nouveau dossier\Neshama\m_b_d\My Playlists\My Music\MORDEHAY BEN DAVID\Mona II\Mona I\Moche Rosenblum\michael shtreicher\Zemiros\Zemiros.exe

[DETECTION] Contains detection pattern of the worm WORM/VB.ay.2

[NOTE] The file was moved to '48b3c920.qua'!

C:\Données d'application\U3\0000188A1672E3C1\Loading.htm

[DETECTION] Contains detection pattern of the HTML script virus HTML/Fujacks.iFrame

[NOTE] The file was moved to '48a7ca78.qua'!

C:\Program Files\Adobe\Acrobat 5.0\Reader\Lisezmoi.html

[DETECTION] Contains detection pattern of the HTML script virus HTML/Infected.WebPage.Gen

[NOTE] The file was moved to '48b9cbc6.qua'!

C:\Program Files\Adobe\Acrobat 5.0\Reader\ReadMe.html

[DETECTION] Contains detection pattern of the HTML script virus HTML/Infected.WebPage.Gen

[NOTE] The file was moved to '48a7cbc2.qua'!

C:\Program Files\Adobe\Acrobat 5.0\Reader\plug_ins\WEBBUY\HTML\template1.html

[DETECTION] Contains detection pattern of the HTML script virus HTML/Fujacks.iFrame

[NOTE] The file was moved to '48b3cbc8.qua'!

C:\Program Files\Adobe\Acrobat 5.0\Reader\plug_ins\WEBBUY\HTML\template2.html

[DETECTION] Contains detection pattern of the HTML script virus HTML/Fujacks.iFrame

[NOTE] The file was moved to '49d848f1.qua'!

C:\Program Files\Adobe\Acrobat 5.0\Reader\plug_ins\WEBBUY\HTML\template5.html

[DETECTION] Contains detection pattern of the HTML script virus HTML/Fujacks.iFrame

[NOTE] The file was moved to '48b3cbca.qua'!

C:\Program Files\AviSynth 2.5\Docs\english\advancedtopics.htm

[DETECTION] Contains detection pattern of the HTML script virus HTML/Fujacks.iFrame

[NOTE] The file was moved to '48bccbe9.qua'!

C:\Program Files\AviSynth 2.5\Docs\english\changelist.htm

[DETECTION] Contains detection pattern of the HTML script virus HTML/Infected.WebPage.Gen

[NOTE] The file was moved to '48a7cbed.qua'!

C:\Program Files\AviSynth 2.5\Docs\english\corefilters.htm

[DETECTION] Contains detection pattern of the HTML script virus HTML/Infected.WebPage.Gen

[NOTE] The file was moved to '48b8cbf4.qua'!

C:\Program Files\AviSynth 2.5\Docs\english\externalplugins.htm

[DETECTION] Contains detection pattern of the HTML script virus HTML/Infected.WebPage.Gen

[NOTE] The file was moved to '48bacbfd.qua'!

C:\Program Files\AviSynth 2.5\Docs\english\index.htm

[DETECTION] Contains detection pattern of the HTML script virus HTML/Fujacks.iFrame

[NOTE] The file was moved to '48aacbf4.qua'!

C:\Program Files\AviSynth 2.5\Docs\english\overview.htm

[DETECTION] Contains detection pattern of the HTML script virus HTML/Fujacks.iFrame

[NOTE] The file was moved to '48abcbfc.qua'!

C:\Program Files\AviSynth 2.5\Docs\english\quick_ref.htm

[DETECTION] Contains detection pattern of the HTML script virus HTML/Infected.WebPage.Gen

[NOTE] The file was moved to '48afcbfc.qua'!

 

C:\Program Files\PopCap Games\Peggle Deluxe\readme.html

[DETECTION] Contains detection pattern of the HTML script virus HTML/Infected.WebPage.Gen

[NOTE] The file was moved to '48a7d2fb.qua'!

 

C:\System Volume Information\_restore{2F073BF3-EDD2-4FFB-91CD-221DACCE2B69}\RP576\A0972103.exe

[DETECTION] Is the Trojan horse TR/Proxy.Delf.CA

[NOTE] The file was moved to '487fd42e.qua'!

C:\System Volume Information\_restore{2F073BF3-EDD2-4FFB-91CD-221DACCE2B69}\RP576\A0974123.exe

[DETECTION] Is the Trojan horse TR/Proxy.Delf.CA

[NOTE] The file was moved to '487fd430.qua'!

C:\System Volume Information\_restore{2F073BF3-EDD2-4FFB-91CD-221DACCE2B69}\RP576\A0974148.exe

[DETECTION] Is the Trojan horse TR/Proxy.Delf.CA

[NOTE] The file was moved to '487fd434.qua'!

C:\System Volume Information\_restore{2F073BF3-EDD2-4FFB-91CD-221DACCE2B69}\RP593\A1120350.exe

[DETECTION] Contains detection pattern of the worm WORM/VB.ay.2

[NOTE] The file was moved to '4910b150.qua'!

C:\System Volume Information\_restore{2F073BF3-EDD2-4FFB-91CD-221DACCE2B69}\RP593\A1120351.exe

[DETECTION] Contains detection pattern of the worm WORM/VB.ay.2

[NOTE] The file was moved to '4877d5de.qua'!

C:\WINDOWS\system32\drivers\spoclsv.exe

[DETECTION] Is the Trojan horse TR/Proxy.Delf.CA

[NOTE] The file was moved to '48b5d771.qua'!

 

 

 

End of the scan: mercredi 4 juin 2008 19:55

Used time: 1:21:11 min

 

The scan has been done completely.

 

11888 Scanning directories

462846 Files were scanned

980 viruses and/or unwanted programs were found

0 Files were classified as suspicious:

0 files were deleted

0 files were repaired

980 files were moved to quarantine

0 files were renamed

2 Files cannot be scanned

461866 Files not concerned

1136 Archives were scanned

2 Warnings

980 Notes

Modifié le 5 juin 2008 par evelynem

[pear]

Bonjour,

 

Antivir a déja bien travaillé.Tout est en quarantaine ou supprimé.

 

Télécharger SmitfraudFix

Dézipper la totalité de l'archive smitfraudfix.zip

 

Utilisation ----- option 1 - Recherche :

Double cliquer sur smitfraudfix.cmd

Sélectionner 1 pour créer un rapport des fichiers responsables de l'infection.

Poster le rapport sur le forum.

 

process.exe est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

 

 

Utilisation -----> option 2 -Nettoyage :

(tapoter F8 au boot pour obtenir le menu de démarrage ).

Double cliquer sur smitfraudfix.cmd

Sélectionner 2 pour supprimer les fichiers responsables de l'infection.

A la question Voulez-vous nettoyer le registre ? répondre O (oui) afin de débloquer le fond d'écran et supprimer les clés de démarrage automatique de l'infection.

Le fix déterminera si le fichier wininet.dll est infecté. A la question Corriger le fichier infecté ? répondre O (oui) pour remplacer le fichier corrompu.

Redémarrer en mode normal et poster le rapport sur le forum.

 

N.B.: Cette étape élimine les fichiers infectieux détectés à l'étape #1

Attention que l'option 2 de l'outil supprime le fond d'écran !

 

 

Télécharger SDFix (créé par AndyManchesta)

et le sauvegarder sur le Bureau.

 

* Double cliquer sur SDFix.exe et choisir Install pour l'extraire dans un dossier dédié sur le Bureau.

 

Redémarrer en mode sans échec

 

* Ouvrir le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clic sur RunThis.bat pour lancer le script.

* Appuyer sur Y pour commencer le processus de nettoyage.

* Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis demandera d'appuyer sur une touche pour redémarrer.

 

Si Sdfix ne se lance pas:

Démarrer->Exécuter

Copiez/collez ceci:

%systemroot%\system32\cmd.exe /K %systemdrive%\SDFix\apps\FixPath.exe

cliquez ok, et validez.

Redémarrez et essayez de nouveau de lancer Sdfix.

 

 

* Le redémarrage sera plus lent qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.

* Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.

* Appuyer sur une touche pour finir l'exécution du script et charger les icônes du Bureau.

* Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.

* Postez le rapport ici.

 

Imprimez ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.

Télécharger Malwarebytes' Anti-Malware (MBAM)

Enregistrez le sur le bureau .

Fermer toutes les fenêtres et programmes.

Double-cliquer sur l'icône Download_mbam-setup.exe sur le bureau pour démarrer l'installation.

Suivez les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet).

N'apportez aucune modification aux réglages par défaut et, en fin d'installation,

vérifiez que les options Update Malwarebytes' Anti-Malware et Launch Malwarebytes' Anti-Malware sont cochées.

MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse.

cliquer sur OK pour fermer la boîte de dialogue.

La fenêtre principale de MBAM s'affiche :

Dans l'onglet analyse, vérifier que "Exécuter une analyse approfondie" est coché et cliquer sur le bouton Rechercher pour démarrer l'analyse.

L' analyse prendra un certain temps, soyez patient !

Un message s'affichera, en indiquant la fin .

Cliquer sur OK pour continuer.

Si des malwares ont été détectés, leur liste s'affiche.

En cliquant sur Suppression (?) , MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

MBAM va ouvrir le bloc-notes et y copier le rapport d'analyse qui peut être retrouvé sous l'onglet Rapports/logs.

Fermer le bloc-note.

Fermer MBAM en cliquant sur Quitter.

Poster le rapport .

Modifié le 5 juin 2008 par pear

[evelynem]

bonsoir et merci bcp votre aide !

 

voici les rapports demandés :

 

MERCI ENCORE !

 

oups j'allais oublier : l'édition du registre par REGEDIT est bloquée !

 

 

 

 

********************************************************************************

**

SmitFraudFix v2.323

 

Rapport fait à 18:44:36,71, 05/06/2008

Executé à partir de C:\Documents and Settings\lederberger\Bureau\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT

Le type du système de fichiers est NTFS

Fix executé en mode normal

 

»»»»»»»»»»»»»»»»»»»»»»»» Process

 

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Program Files\Bonjour\mDNSResponder.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe

C:\WINDOWS\system32\ezSP_Px.exe

C:\PROGRA~1\FICHIE~1\PCSuite\DATALA~1\DATALA~1.EXE

C:\Program Files\Fichiers communs\InstallShield\UpdateService\issch.exe

C:\Program Files\QuickTime\QTTask.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Messenger\msmsgs.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exe

C:\Program Files\FinePixViewer\QuickDCF.exe

C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

C:\Program Files\Sony\Sony Picture Utility\PMBCore\SPUVolumeWatcher.exe

C:\PROGRA~1\FICHIE~1\PCSuite\Services\SERVIC~1.EXE

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\HP\Digital Imaging\bin\hpqgalry.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\WINDOWS\system32\cmd.exe

 

»»»»»»»»»»»»»»»»»»»»»»»» hosts

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\lederberger

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\lederberger\Application Data

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\LEDERB~1\Favoris

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Bureau

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

 

 

 

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

 

IEDFix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

 

 

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

 

VACFix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

 

 

»»»»»»»»»»»»»»»»»»»»»»»» 404Fix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

 

404Fix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

 

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

 

 

»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]

"AppInit_DLLs"=""

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"

"System"=""

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Rustock

 

 

 

»»»»»»»»»»»»»»»»»»»»»»»» DNS

 

Description: Carte VIA PCI 10/100Mo Fast Ethernet - Miniport d'ordonnancement de paquets

DNS Server Search Order: 192.168.1.1

 

HKLM\SYSTEM\CCS\Services\Tcpip\..\{6B90D948-AABE-4977-856E-DB5BB5D20D9F}: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CS3\Services\Tcpip\..\{6B90D948-AABE-4977-856E-DB5BB5D20D9F}: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Fin

 

********************************************************************************

**

 

SDFix: Version 1.188

Run by Administrateur on 05/06/2008 at 18:56

 

Microsoft Windows XP [version 5.1.2600]

Running From: C:\DOCUME~1\LEDERB~1\Bureau\sdfix\SDFix

 

Checking Services :

 

 

Restoring Windows Registry Values

Restoring Windows Default Hosts File

Restoring Missing Security Center Service

 

Rebooting

 

 

Checking Files :

 

No Trojan Files Found

 

 

 

 

 

 

Removing Temp Files

 

ADS Check :

 

 

 

Final Check :

 

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-06-05 19:08:15

Windows 5.1.2600 Service Pack 2 NTFS

 

scanning hidden processes ...

 

scanning hidden services & system hive ...

 

scanning hidden registry entries ...

 

scanning hidden files ...

 

scan completed successfully

hidden processes: 0

hidden services: 0

hidden files: 0

 

 

Remaining Services :

 

 

 

 

Authorized Application Key Export:

 

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]

"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"="C:\\Program Files\\MSN Messenger\\msnmsgr.exe:*:Enabled:MSN Messenger 7.5"

"C:\\Program Files\\Messenger\\msmsgs.exe"="C:\\Program Files\\Messenger\\msmsgs.exe:*:Enabled:Windows Messenger"

"C:\\Program Files\\Microprose\\Risk II\\RiskII.exe"="C:\\Program Files\\Microprose\\Risk II\\RiskII.exe:*:Disabled:Risk II"

"C:\\WINDOWS\\system32\\dplaysvr.exe"="C:\\WINDOWS\\system32\\dplaysvr.exe:*:Disabled:Microsoft DirectPlay Helper"

"C:\\Program Files\\iTunes\\iTunes.exe"="C:\\Program Files\\iTunes\\iTunes.exe:*:Enabled:iTunes"

"C:\\Program Files\\EA GAMES\\Battlefield 1942\\BF1942.exe"="C:\\Program Files\\EA GAMES\\Battlefield 1942\\BF1942.exe:*:Disabled:BF1942"

"C:\\Program Files\\EA GAMES\\MOHDA\\MOHAA.exe"="C:\\Program Files\\EA GAMES\\MOHDA\\MOHAA.exe:*:Enabled:Medal of Honor Allied Assault"

"C:\\Program Files\\Bonjour\\mDNSResponder.exe"="C:\\Program Files\\Bonjour\\mDNSResponder.exe:*:Enabled:Bonjour"

"C:\\Program Files\\Internet Explorer\\IEXPLORE.EXE"="C:\\Program Files\\Internet Explorer\\IEXPLORE.EXE:*:Enabled:Internet Explorer"

 

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]

"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"="C:\\Program Files\\MSN Messenger\\msnmsgr.exe:*:Enabled:MSN Messenger 7.5"

 

Remaining Files :

 

 

 

Files with Hidden Attributes :

 

Sun 25 May 2008 4,348 A.SH. --- "C:\Documents and Settings\All Users\DRM\DRMv1.bak"

Mon 12 Feb 2007 3,096,576 A..H. --- "C:\Donn‚es d'application\U3\temp\Launchpad Removal.exe"

Thu 1 May 2008 56,618 A..H. --- "C:\Program Files\InterActual\InterActual Player\iti1B7.tmp"

Wed 15 May 2002 310,835 A..H. --- "C:\Program Files\THQ\Britney\binkw32.dll"

Tue 25 Jun 2002 901,120 A..H. --- "C:\Program Files\THQ\Britney\Britney.exe"

Wed 15 May 2002 258,048 A..H. --- "C:\Program Files\THQ\Britney\gaudio.dll"

Mon 12 Feb 2007 3,096,576 A..H. --- "C:\System Volume Information\_restore{2F073BF3-EDD2-4FFB-91CD-221DACCE2B69}\RP576\A0984158.exe"

Mon 12 Feb 2007 3,096,576 A..H. --- "C:\System Volume Information\_restore{2F073BF3-EDD2-4FFB-91CD-221DACCE2B69}\RP588\A1052567.exe"

Wed 5 Jan 2005 0 A.SH. --- "C:\Documents and Settings\All Users\DRM\Cache\Indiv01.tmp"

Mon 8 May 2006 4,789,792 A..H. --- "C:\Documents and Settings\lederberger\Mes documents\Naftoli (D)\setup.exe"

Wed 12 Jun 2002 4,608 A..H. --- "C:\Program Files\THQ\Britney\data\WKeyKill.dll"

Thu 5 Jun 2008 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\8171d23d6d072d8b50d065ca55a754fb\BIT3DB.tmp"

Thu 5 Jun 2008 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\f7db876e78b88fd8276fd7d29cb7e4eb\BIT3B0.tmp"

Mon 12 Feb 2007 3,096,576 A..H. --- "C:\Documents and Settings\lederberger\Application Data\U3\temp\Launchpad Removal.exe"

Fri 16 Jul 1999 54 A.SH. --- "C:\Documents and Settings\lederberger\Application Data\iPodSoft\iPod Agent\1.1.2.0\WinIPA.sys"

Sun 2 Jan 2005 1,314,816 A.SH. --- "C:\Documents and Settings\lederberger\Mes documents\rouh\Mes documents\Mes images\seem\SIV8A.tmp"

 

Finished!

 

********************************************************************************

**

Malwarebytes' Anti-Malware 1.14

Version de la base de données: 828

 

21:09:39 05/06/2008

mbam-log-6-5-2008 (21-09-24).txt

 

Type de recherche: Examen complet (C:\|)

Eléments examinés: 309819

Temps écoulé: 1 hour(s), 33 minute(s), 18 second(s)

 

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 0

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 1

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 0

 

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Clé(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Valeur(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Elément(s) de données du Registre infecté(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue (Hijack.System.Hidden) -> Bad: (0) Good: (1) -> No action taken.

 

Dossier(s) infecté(s):

(Aucun élément nuisible détecté)

 

Fichier(s) infecté(s):

(Aucun élément nuisible détecté)

Modifié le 5 juin 2008 par evelynem

[pear]

Bonsoir,

 

Copier ceci dans le bloc note et enregistrer avec l'extention .vbs et cliquez sur ouvrir

Dim WSHShell

Set WshShell = WScript.CreateObject("WScript.Shell")

With WScript.CreateObject("WScript.Shell")

 

On Error Resume Next

key="HKEY_CLASSES_ROOT\regfile\shell\open\command\"

shell.RegWrite key,"regedit.exe ""%1"""

key="HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\System\"

shell.RegWrite key & "DisableRegistryTools", 0 ,"REG_DWORD"

key="HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\"

shell.RegWrite key & "DisableRegistryTools", 0 ,"REG_DWORD"

key="HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\"

shell.RegWrite key & "DisableRegistryTools", 0 ,"REG_DWORD"

 

WSHShell.Run "REGEDIT"

 

Set WSHShell = Nothing

End With

 

wscript.echo "Réactivation du Registre effectuée"

 

Wscript.quit

 

ensuite:

 

Copier/coller ce qui suit dans le bloc notes,

sans ligne blanche au début.

Enregistrez sur le bureau sous regis.reg.

Cliquez droit sur le fichier ->fusionner

Acceptez la modification du Régistre:

 

Windows Registry Editor Version 5.00

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]

"CheckedValue"=dword:00000001