Virus Alert Résolu!

zeupa · le 9 juillet 2008

Bonjour

J'ai subi il y deux jours un problème d'installation automatique de logiciel anti virus. Fenêtres intempestives, connexion automatique sur le site du logiciel, plus de poste de travail, impossibilité de désinstallé, plus de panneau de configuration, lenteur importante des applications.J'ai réussi à me débarasser des programmes, et mon PC tourne "correctement". Il me reste en bas a droite de l'horloge le message VIRUS ALERT ainsi que sur tout mes fichiers...

Quelqu'un pourrait t-il m'aider SVP ? Merci d'avance.

Voici mon rapport.

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 14:06: VIRUS ALERT!, on 09/07/2008

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16674)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\brsvc01a.exe

C:\WINDOWS\system32\brss01a.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\LEXPPS.EXE

C:\WINDOWS\Explorer.EXE

C:\TAGENDA\TNotify.EXE

C:\WINDOWS\system32\rundll32.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\Fichiers communs\EPSON\eEBAPI\eEBSVC.exe

C:\Program Files\ScanSoft\PaperPort\pptd40nt.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\Program Files\Brother\ControlCenter2\brctrcen.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\system32\drivers\CDAC11BA.EXE

C:\Program Files\Fichiers communs\EPSON\eEBAPI\SAgent2.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe

C:\Program Files\Microsoft SQL Server\MSSQL$MICROSOFTBCM\Binn\sqlservr.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Program Files\Microsoft Office\OFFICE11\OUTLOOK.EXE

C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Documents and Settings\Jean-Michel\Bureau\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.dell.ca/index.htm

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Secured eMule Toolbar - {1d1b60fd-b21f-4b9a-8a5f-64e8544828d7} - C:\Program Files\Secured_eMule\tbSec1.dll

R3 - URLSearchHook: IsoBuster Toolbar - {266fcdca-7bb3-4da7-b3bf-f845dea2ebd6} - C:\Program Files\IsoBuster\tbIso1.dll

F3 - REG:win.ini: run=C:\TAGENDA\TNotify.EXE

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: ShoppingReport - {100EB1FD-D03E-47FD-81F3-EE91287F9465} - C:\Program Files\ShoppingReport\Bin\2.0.24\ShoppingReport.dll

O2 - BHO: Secured eMule Toolbar - {1d1b60fd-b21f-4b9a-8a5f-64e8544828d7} - C:\Program Files\Secured_eMule\tbSec1.dll

O2 - BHO: IsoBuster Toolbar - {266fcdca-7bb3-4da7-b3bf-f845dea2ebd6} - C:\Program Files\IsoBuster\tbIso1.dll

O2 - BHO: (no name) - {3BA3028F-FD37-46BF-AD27-733734684F06} - C:\WINDOWS\system32\cbXNFvWo.dll

O2 - BHO: (no name) - {45A7BE9F-B6B0-476B-B943-8E47EBEA373C} - C:\WINDOWS\system32\khfETlMG.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll

O2 - BHO: QXK Olive - {8663655C-F6D4-4520-859E-67008902A889} - C:\WINDOWS\kgqfweltmrg.dll

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll

O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\fr\msntb.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - (no file)

O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - (no file)

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\fr\msntb.dll

O3 - Toolbar: Secured eMule Toolbar - {1d1b60fd-b21f-4b9a-8a5f-64e8544828d7} - C:\Program Files\Secured_eMule\tbSec1.dll

O3 - Toolbar: nqgpedlr - {80123684-A222-4009-8220-A867294D6DE8} - C:\WINDOWS\nqgpedlr.dll

O3 - Toolbar: IsoBuster Toolbar - {266fcdca-7bb3-4da7-b3bf-f845dea2ebd6} - C:\Program Files\IsoBuster\tbIso1.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [f86d9ce0] rundll32.exe "C:\WINDOWS\system32\eqkcybyv.dll",b

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [sSBkgdUpdate] "C:\Program Files\Fichiers communs\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot

O4 - HKLM\..\Run: [setDefPrt] C:\Program Files\Brother\Brmfl05a\BrStDvPt.exe

O4 - HKLM\..\Run: [PaperPort PTD] C:\Program Files\ScanSoft\PaperPort\pptd40nt.exe

O4 - HKLM\..\Run: [indexSearch] C:\Program Files\ScanSoft\PaperPort\IndexSearch.exe

O4 - HKLM\..\Run: [ControlCenter2.0] C:\Program Files\Brother\ControlCenter2\brctrcen.exe /autorun

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVGFRE~1\avgw.exe /RUNONCE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

O8 - Extra context menu item: &Point&&Go - C:\Program Files\Fichiers communs\Expert System\PGPlatform\PGPlatform.htm

O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Convert to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Ouvrir le fichier PDF dans Word (PDF Converter 3.0) - res://C:\Program Files\ScanSoft\PDF Professional 3.0\IEShellExt.dll /300

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O9 - Extra button: ShopperReports - Compare product prices - {C5428486-50A0-4a02-9D20-520B59A9F9B2} - C:\Program Files\ShoppingReport\Bin\2.0.24\ShoppingReport.dll

O9 - Extra button: ShopperReports - Compare travel rates - {C5428486-50A0-4a02-9D20-520B59A9F9B3} - C:\Program Files\ShoppingReport\Bin\2.0.24\ShoppingReport.dll

O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: ppctlcab - http://ppupdates.ca.com/downloads/scanner/ppctlcab.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5co...b?1102960709642

O16 - DPF: {79E0C1C0-316D-11D5-A72A-006097BFA1AC} (EPSON Web Printer-SelfTest Control Class) - http://esupport.epson-europe.com/selftest/...rg/ESTPTest.cab

O20 - Winlogon Notify: cbXNFvWo - C:\WINDOWS\SYSTEM32\cbXNFvWo.dll

O21 - SSODL: okmdepgb - {95A09031-D2AF-4B75-B66F-03E7068D9040} - C:\WINDOWS\okmdepgb.dll

O21 - SSODL: axrfgvek - {FD314A39-E6CE-4CA0-AAA5-3F5ACFC39748} - C:\WINDOWS\axrfgvek.dll

O22 - SharedTaskScheduler: forevouched - {6af69c4d-420a-4c95-b34f-e4635f84f53b} - (no file)

O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe

O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE

O23 - Service: EpsonBidirectionalService - Unknown owner - C:\Program Files\Fichiers communs\EPSON\eEBAPI\eEBSVC.exe

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Program Files\Fichiers communs\EPSON\eEBAPI\SAgent2.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPodService - Unknown owner - C:\Program Files\iPod\bin\iPodService.exe (file missing)

O23 - Service: Kodak Camera Connection Software (KodakCCS) - Unknown owner - C:\WINDOWS\system32\drivers\KodakCCS.exe (file missing)

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton AntiVirus\SAVScan.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

O24 - Desktop Component 0: (no name) - file:///C:/DOCUME~1/JEAN-M~1/LOCALS~1/Temp/msohtml1/01/clip_image002.gif

--

End of file - 12096 bytes

Modifié le 23 juillet 2008 par zeupa

bruce lee · le 9 juillet 2008

Bonjour zeupa et bienvenue sur ce forum

1/Télécharge http://siri.urz.free.fr/Fix/SmitfraudFix.exe ou ici: http://siri.geekstogo.com/SmitfraudFix.exe (de S!Ri) sur ton Bureau

2/Double cliquer sur smitfraudfix.exe

Sélectionner 1 dans le menu pour créer un rapport des fichiers responsables de l'infection.

sauvegarde ce rapport et poste le

1. Télécharge combofix.exe (par sUBs) ici :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

http://subs.geekstogo.com/ComboFix.exe

http://www.forospyware.com/sUBs/ComboFix.exe

sur ton Bureau.

2. Double clique sur combofix.exe pour lancer le scan.

3. Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse.

zeupa · le 9 juillet 2008

Bonjour et merci beaucoup pour ton aide.

J'ai lancé SmitFraudFix et voici le rapport. J'ai ensuite lancé Combofix, qui a régler les problèmes, mais je n'ai pas eu de rapport final!?

Me reste t'il de actions à faire? Merci d'avance!!

SmitFraudFix v2.329

Rapport fait à 17:09:12,41, 09/07/2008

Executé à partir de C:\Documents and Settings\Jean-Michel\Bureau\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT

Le type du système de fichiers est NTFS

Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\brsvc01a.exe

C:\WINDOWS\system32\brss01a.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\LEXPPS.EXE

C:\WINDOWS\Explorer.EXE

C:\TAGENDA\TNotify.EXE

C:\WINDOWS\system32\rundll32.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\Fichiers communs\EPSON\eEBAPI\eEBSVC.exe

C:\Program Files\ScanSoft\PaperPort\pptd40nt.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\Program Files\Brother\ControlCenter2\brctrcen.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\system32\drivers\CDAC11BA.EXE

C:\Program Files\Fichiers communs\EPSON\eEBAPI\SAgent2.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe

C:\Program Files\Microsoft SQL Server\MSSQL$MICROSOFTBCM\Binn\sqlservr.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Program Files\Microsoft Office\OFFICE11\OUTLOOK.EXE

C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Documents and Settings\Jean-Michel\Bureau\SmitfraudFix\Policies.exe

C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts

»»»»»»»»»»»»»»»»»»»»»»»» C:\

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

C:\WINDOWS\system32\ot.ico PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Jean-Michel

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Jean-Michel\Application Data

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\JEAN-M~1\Favoris

C:\DOCUME~1\JEAN-M~1\Favoris\Antivirus Test Online.url PRESENT !

C:\DOCUME~1\JEAN-M~1\Favoris\Error Cleaner.url PRESENT !

C:\DOCUME~1\JEAN-M~1\Favoris\Privacy Protector.url PRESENT !

C:\DOCUME~1\JEAN-M~1\Favoris\Spyware?Malware Protection.url PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» Bureau

»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]

"Source"="file:///C:/DOCUME~1/JEAN-M~1/LOCALS~1/Temp/msohtml1/01/clip_image002.gif"

"SubscribedURL"="file:///C:/DOCUME~1/JEAN-M~1/LOCALS~1/Temp/msohtml1/01/clip_image002.gif"

"FriendlyName"=""

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\1]

"Source"="About:Home"

"SubscribedURL"="About:Home"

"FriendlyName"="Ma page d'accueil"

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

IEDFix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

VACFix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» 404Fix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

404Fix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]

"{6af69c4d-420a-4c95-b34f-e4635f84f53b}"="forevouched"

»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]

"AppInit_DLLs"=""

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"

"System"=""

»»»»»»»»»»»»»»»»»»»»»»»» Rustock

»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Broadcom 440x 10/100 Integrated Controller - Miniport d'ordonnancement de paquets

DNS Server Search Order: 212.27.53.252

DNS Server Search Order: 212.27.54.252

HKLM\SYSTEM\CCS\Services\Tcpip\..\{3E57F396-FC9C-4752-A278-4479904D2346}: DhcpNameServer=192.168.1.10 193.252.19.3 193.252.19.4

HKLM\SYSTEM\CCS\Services\Tcpip\..\{657C0C29-936E-4A91-9A9A-0D5FE00ACB96}: DhcpNameServer=192.168.1.10 193.252.19.3 193.252.19.4

HKLM\SYSTEM\CCS\Services\Tcpip\..\{AF8DCE8A-DC81-4625-9116-548EE6C37892}: DhcpNameServer=212.27.53.252 212.27.54.252

HKLM\SYSTEM\CS1\Services\Tcpip\..\{3E57F396-FC9C-4752-A278-4479904D2346}: DhcpNameServer=192.168.1.10 193.252.19.3 193.252.19.4

HKLM\SYSTEM\CS1\Services\Tcpip\..\{657C0C29-936E-4A91-9A9A-0D5FE00ACB96}: DhcpNameServer=192.168.1.10 193.252.19.3 193.252.19.4

HKLM\SYSTEM\CS1\Services\Tcpip\..\{AF8DCE8A-DC81-4625-9116-548EE6C37892}: DhcpNameServer=212.27.53.252 212.27.54.252

HKLM\SYSTEM\CS2\Services\Tcpip\..\{3E57F396-FC9C-4752-A278-4479904D2346}: DhcpNameServer=192.168.1.10 193.252.19.3 193.252.19.4

HKLM\SYSTEM\CS2\Services\Tcpip\..\{657C0C29-936E-4A91-9A9A-0D5FE00ACB96}: DhcpNameServer=192.168.1.10 193.252.19.3 193.252.19.4

HKLM\SYSTEM\CS2\Services\Tcpip\..\{AF8DCE8A-DC81-4625-9116-548EE6C37892}: DhcpNameServer=212.27.53.252 212.27.54.252

HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=212.27.53.252 212.27.54.252

HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=212.27.53.252 212.27.54.252

HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=212.27.53.252 212.27.54.252

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin

bruce lee · le 9 juillet 2008

Re,

* Redemarre l'ordinateur en mode sans echec http://cybersecurite.xooit.com/t88-Demarre...-sans-echec.htm

* Double cliquer sur smitfraudfix.exe

* Sélectionner 2 dans le menu pour supprimer les fichiers responsables de l'infection.

* A la question: Voulez-vous nettoyer le registre ? répondre O (oui)

sauvegarde le rapport.

redemarre en mode normal et post aussi le nouveau rapport

1. Télécharge combofix.exe (par sUBs) ici :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

http://subs.geekstogo.com/ComboFix.exe

http://www.forospyware.com/sUBs/ComboFix.exe

sur ton Bureau.

2. Double clique sur combofix.exe pour lancer le scan.

3. Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse.

zeupa · le 9 juillet 2008

Bonsoir, merci Bruce Lee de t'occuper d'un petit junior!!

Voici les rapports demandés:

SmitFraudFix v2.329

Rapport fait à 23:47:44.53, 2008-07-09

Executé à partir de C:\Documents and Settings\Jean-Michel\Bureau\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT

Le type du système de fichiers est NTFS

Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Avant SmitFraudFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]

"{6af69c4d-420a-4c95-b34f-e4635f84f53b}"="forevouched"

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus

»»»»»»»»»»»»»»»»»»»»»»»» hosts

127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

VACFix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

S!Ri's WS2Fix: LSP not Found.

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

C:\WINDOWS\system32\ot.ico supprimé

C:\DOCUME~1\JEAN-M~1\Favoris\Antivirus Test Online.url supprimé

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

IEDFix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» 404Fix

404Fix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» DNS

HKLM\SYSTEM\CCS\Services\Tcpip\..\{3E57F396-FC9C-4752-A278-4479904D2346}: DhcpNameServer=192.168.1.10 193.252.19.3 193.252.19.4

HKLM\SYSTEM\CCS\Services\Tcpip\..\{657C0C29-936E-4A91-9A9A-0D5FE00ACB96}: DhcpNameServer=192.168.1.10 193.252.19.3 193.252.19.4

HKLM\SYSTEM\CCS\Services\Tcpip\..\{AF8DCE8A-DC81-4625-9116-548EE6C37892}: DhcpNameServer=212.27.54.252 212.27.53.252

HKLM\SYSTEM\CS1\Services\Tcpip\..\{3E57F396-FC9C-4752-A278-4479904D2346}: DhcpNameServer=192.168.1.10 193.252.19.3 193.252.19.4

HKLM\SYSTEM\CS1\Services\Tcpip\..\{657C0C29-936E-4A91-9A9A-0D5FE00ACB96}: DhcpNameServer=192.168.1.10 193.252.19.3 193.252.19.4

HKLM\SYSTEM\CS1\Services\Tcpip\..\{AF8DCE8A-DC81-4625-9116-548EE6C37892}: DhcpNameServer=212.27.54.252 212.27.53.252

HKLM\SYSTEM\CS2\Services\Tcpip\..\{3E57F396-FC9C-4752-A278-4479904D2346}: DhcpNameServer=192.168.1.10 193.252.19.3 193.252.19.4

HKLM\SYSTEM\CS2\Services\Tcpip\..\{657C0C29-936E-4A91-9A9A-0D5FE00ACB96}: DhcpNameServer=192.168.1.10 193.252.19.3 193.252.19.4

HKLM\SYSTEM\CS2\Services\Tcpip\..\{AF8DCE8A-DC81-4625-9116-548EE6C37892}: DhcpNameServer=212.27.54.252 212.27.53.252

HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=212.27.54.252 212.27.53.252

HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=212.27.54.252 212.27.53.252

HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=212.27.54.252 212.27.53.252

»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"System"=""

»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre

Nettoyage terminé.

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Après SmitFraudFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin

ComboFix 08-07-08.7 - Jean-Michel 2008-07-09 23:57:52.2 - NTFSx86

Microsoft Windows XP Édition familiale 5.1.2600.3.1252.1.1036.18.240 [GMT 2:00]

Endroit: C:\Documents and Settings\Jean-Michel\Bureau\ComboFix.exe

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

---- Previous Run -------

.

C:\Documents and Settings\Administrateur\Application Data\rhcp5ej0er7t

C:\Documents and Settings\Jean-Michel\Application Data\rhcp5ej0er7t

C:\Documents and Settings\Jean-Michel\Application Data\ShoppingReport

C:\Documents and Settings\Jean-Michel\Application Data\ShoppingReport\cs\Config.xml

C:\Documents and Settings\Jean-Michel\Application Data\ShoppingReport\cs\db\Aliases.dbs

C:\Documents and Settings\Jean-Michel\Application Data\ShoppingReport\cs\db\Sites.dbs

C:\Documents and Settings\Jean-Michel\Application Data\ShoppingReport\cs\dwld\WhiteList.xip

C:\Documents and Settings\Jean-Michel\Application Data\ShoppingReport\cs\report\aggr_storage.xml

C:\Documents and Settings\Jean-Michel\Application Data\ShoppingReport\cs\report\send_storage.xml

C:\Documents and Settings\Jean-Michel\Application Data\ShoppingReport\cs\res2\WhiteList.dbs

C:\Documents and Settings\Jean-Michel\Favoris\Error Cleaner.url

C:\Documents and Settings\Jean-Michel\Favoris\Privacy Protector.url

C:\Documents and Settings\Jean-Michel\Favoris\Spyware&Malware Protection.url

C:\Program Files\AntiSpywareExpert

C:\Program Files\Antivirus 2009

C:\Program Files\Antivirus 2009\av2009.exe

C:\Program Files\PCHealthCenter

C:\Program Files\PCHealthCenter\0.exe

C:\Program Files\PCHealthCenter\0.gif

C:\Program Files\PCHealthCenter\1.gif

C:\Program Files\PCHealthCenter\2.gif

C:\Program Files\PCHealthCenter\3.exe

C:\Program Files\PCHealthCenter\3.gif

C:\Program Files\PCHealthCenter\sex1.ico

C:\Program Files\PCHealthCenter\sex2.ico

C:\Program Files\rhcp5ej0er7t

C:\Program Files\ShoppingReport

C:\Program Files\ShoppingReport\Uninst.exe

C:\Program Files\VAV

C:\Program Files\VAV\vav.cpl

C:\Program Files\VAV\vav.ooo

C:\Program Files\VAV\vav0.dat

C:\Program Files\VAV\vav1.dat

C:\WINDOWS\axrfgvek.dll

C:\WINDOWS\kgqfweltmrg.dll

C:\WINDOWS\mrvtdpqe.exe

C:\WINDOWS\nqgpedlr.dll

C:\WINDOWS\okmdepgb.dll

C:\WINDOWS\Sys6.exe

C:\WINDOWS\system32\akqtqyfl.ini

C:\WINDOWS\system32\cgcbdpbh.ini

C:\WINDOWS\system32\eqkcybyv.dll

C:\WINDOWS\SYSTEM32\GMlTEfhk.ini

C:\WINDOWS\SYSTEM32\GMlTEfhk.ini2

C:\WINDOWS\system32\lphct5ej0er7t.exe

C:\WINDOWS\system32\mcrh.tmp

C:\WINDOWS\system32\pphct5ej0er7t.exe

C:\WINDOWS\system32\ucrjlhxa.ini

C:\WINDOWS\SYSTEM32\vybyckqe.ini

.

((((((((((((((((((((((((((((( Fichiers créés 2008-06-09 to 2008-07-09 ))))))))))))))))))))))))))))))))))))

.

2008-07-09 17:09 . 2008-07-09 23:48 1,536 --a------ C:\WINDOWS\SYSTEM32\tmp.reg

2008-07-09 17:08 . 2007-09-06 00:22 289,144 --a------ C:\WINDOWS\SYSTEM32\VCCLSID.exe

2008-07-09 17:08 . 2006-04-27 17:49 288,417 --a------ C:\WINDOWS\SYSTEM32\SrchSTS.exe

2008-07-09 17:08 . 2008-05-29 09:35 86,528 --a------ C:\WINDOWS\SYSTEM32\VACFix.exe

2008-07-09 17:08 . 2008-05-18 21:40 82,944 --a------ C:\WINDOWS\SYSTEM32\IEDFix.exe

2008-07-09 17:08 . 2008-07-02 13:33 82,432 --a------ C:\WINDOWS\SYSTEM32\IEDFix.C.exe

2008-07-09 17:08 . 2008-05-23 18:21 81,920 --a------ C:\WINDOWS\SYSTEM32\404Fix.exe

2008-07-09 17:08 . 2003-06-05 21:13 53,248 --a------ C:\WINDOWS\SYSTEM32\Process.exe

2008-07-09 17:08 . 2004-07-31 18:50 51,200 --a------ C:\WINDOWS\SYSTEM32\dumphive.exe

2008-07-09 17:08 . 2007-10-04 00:36 25,600 --a------ C:\WINDOWS\SYSTEM32\WS2Fix.exe

2008-07-08 11:00 . 2008-07-08 11:00 <REP> d-------- C:\WINDOWS\SYSTEM32\fr

2008-07-08 10:54 . 2008-07-08 11:01 <REP> d-------- C:\WINDOWS\ServicePackFiles

2008-07-08 10:46 . 2006-12-28 12:01 19,569 --a------ C:\WINDOWS\002723_.tmp

2008-07-08 10:39 . 2008-07-08 10:39 <REP> d-------- C:\WINDOWS\EHome

2008-07-08 10:01 . 2004-12-08 13:06 <REP> d--h----- C:\Documents and Settings\Administrateur\Voisinage réseau

2008-07-08 10:01 . 2004-12-08 13:06 <REP> d--h----- C:\Documents and Settings\Administrateur\Voisinage d'impression

2008-07-08 10:01 . 2004-12-08 13:06 <REP> d--h----- C:\Documents and Settings\Administrateur\Modèles

2008-07-08 10:01 . 2004-12-08 13:39 <REP> dr------- C:\Documents and Settings\Administrateur\Mes documents

2008-07-08 10:01 . 2004-12-08 13:06 <REP> dr------- C:\Documents and Settings\Administrateur\Menu Démarrer

2008-07-08 10:01 . 2004-12-08 13:06 <REP> dr------- C:\Documents and Settings\Administrateur\Favoris

2008-07-08 10:01 . 2008-07-08 10:04 <REP> d-------- C:\Documents and Settings\Administrateur\Bureau

2008-07-08 10:01 . 2004-12-08 13:43 <REP> d-------- C:\Documents and Settings\Administrateur\Application Data\You've Got Pictures Screensaver

2008-07-08 10:01 . 2004-12-08 13:44 <REP> d-------- C:\Documents and Settings\Administrateur\Application Data\Sonic

2008-07-08 10:01 . 2004-12-08 13:39 <REP> d-------- C:\Documents and Settings\Administrateur\Application Data\Jasc Software Inc

2008-07-08 10:01 . 2008-07-08 10:01 <REP> d-------- C:\Documents and Settings\Administrateur

2008-07-08 09:37 . 2008-07-08 09:40 <REP> d-------- C:\4936bfbfe8f2960fdc94

2008-07-08 09:26 . 2008-07-08 09:26 <REP> d-------- C:\Program Files\Smart Projects

2008-07-08 09:26 . 2008-07-08 09:26 <REP> d-------- C:\Program Files\IsoBuster

2008-07-08 09:26 . 2008-07-08 09:26 <REP> d-------- C:\Program Files\Conduit

2008-07-08 00:11 . 2008-07-08 00:11 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Martau

2008-07-08 00:10 . 2008-07-08 00:10 <REP> d-------- C:\Program Files\Total Uninstall 4

2008-07-07 12:52 . 2008-07-07 12:52 88,576 --a------ C:\WINDOWS\SYSTEM32\lfyqtqka.dll

2008-07-07 00:03 . 2008-07-07 00:03 318,720 --a------ C:\WINDOWS\SYSTEM32\khfETlMG.dll

2008-07-06 23:58 . 2008-07-06 23:58 28,800 --a------ C:\WINDOWS\SYSTEM32\cbXNFvWo.dll

2008-07-06 23:57 . 2008-07-06 03:48 176,128 --a------ C:\WINDOWS\esrp.exe

2008-07-05 18:57 . 2008-07-05 18:55 691,545 --a------ C:\WINDOWS\unins000.exe

2008-07-05 18:57 . 2008-07-05 18:57 2,550 --a------ C:\WINDOWS\unins000.dat

2008-06-20 19:47 . 2008-06-20 19:47 247,808 --------- C:\WINDOWS\SYSTEM32\DLLCACHE\mswsock.dll

2008-06-20 19:47 . 2008-06-20 19:47 147,968 --------- C:\WINDOWS\SYSTEM32\DLLCACHE\dnsapi.dll

2008-06-20 13:51 . 2008-06-20 13:51 361,600 --------- C:\WINDOWS\SYSTEM32\DLLCACHE\tcpip.sys

2008-06-20 13:40 . 2008-06-20 13:40 138,496 --------- C:\WINDOWS\SYSTEM32\DLLCACHE\afd.sys

2008-06-20 13:08 . 2008-06-20 13:08 225,856 --------- C:\WINDOWS\SYSTEM32\DLLCACHE\tcpip6.sys

2008-06-11 12:50 . 2008-06-14 19:33 272,768 --------- C:\WINDOWS\SYSTEM32\DRIVERS\bthport.sys

2008-06-11 12:50 . 2008-06-14 19:33 272,768 --------- C:\WINDOWS\SYSTEM32\DLLCACHE\bthport.sys

2008-06-11 12:50 . 2008-05-08 16:02 203,136 --------- C:\WINDOWS\SYSTEM32\DLLCACHE\rmcast.sys

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-07-07 14:06 --------- d-----w C:\Documents and Settings\Jean-Michel\Application Data\AVG7

2008-07-07 14:05 --------- d-----w C:\Program Files\SpywareBlaster

2008-06-20 17:47 247,808 ----a-w C:\WINDOWS\SYSTEM32\mswsock.dll

2008-06-20 11:51 361,600 ----a-w C:\WINDOWS\system32\drivers\tcpip.sys

2008-06-20 11:40 138,496 ----a-w C:\WINDOWS\system32\drivers\afd.sys

2008-06-20 11:08 225,856 ----a-w C:\WINDOWS\system32\drivers\tcpip6.sys

2008-06-20 06:00 --------- d-----w C:\Documents and Settings\LocalService\Application Data\AVG7

2008-05-24 18:23 --------- d-----w C:\Program Files\VirginMega

2008-05-24 18:22 --------- d-----w C:\Documents and Settings\All Users\Application Data\Downloaded Installations

2008-05-09 10:55 90,112 ----a-w C:\WINDOWS\SYSTEM32\wshext.dll

2008-05-09 10:55 90,112 ------w C:\WINDOWS\SYSTEM32\DLLCACHE\wshext.dll

2008-05-09 10:55 512,000 ------w C:\WINDOWS\SYSTEM32\DLLCACHE\jscript.dll

2008-05-09 10:55 430,080 ----a-w C:\WINDOWS\SYSTEM32\vbscript.dll

2008-05-09 10:55 430,080 ------w C:\WINDOWS\SYSTEM32\DLLCACHE\vbscript.dll

2008-05-09 10:55 180,224 ----a-w C:\WINDOWS\SYSTEM32\scrobj.dll

2008-05-09 10:55 180,224 ------w C:\WINDOWS\SYSTEM32\DLLCACHE\scrobj.dll

2008-05-09 10:55 172,032 ----a-w C:\WINDOWS\SYSTEM32\scrrun.dll

2008-05-09 10:55 172,032 ------w C:\WINDOWS\SYSTEM32\DLLCACHE\scrrun.dll

2008-05-08 11:24 155,648 ----a-w C:\WINDOWS\SYSTEM32\wscript.exe

2008-05-08 11:24 155,648 ------w C:\WINDOWS\SYSTEM32\DLLCACHE\wscript.exe

2008-05-07 09:07 135,168 ----a-w C:\WINDOWS\SYSTEM32\cscript.exe

2008-05-07 09:07 135,168 ------w C:\WINDOWS\SYSTEM32\DLLCACHE\cscript.exe

2008-05-07 05:11 1,294,336 ----a-w C:\WINDOWS\SYSTEM32\quartz.dll

2008-05-07 05:11 1,294,336 ------w C:\WINDOWS\SYSTEM32\DLLCACHE\quartz.dll

2008-04-23 20:16 3,591,680 ----a-w C:\WINDOWS\SYSTEM32\DLLCACHE\mshtml.dll

2008-04-22 07:41 70,656 ------w C:\WINDOWS\SYSTEM32\DLLCACHE\ie4uinit.exe

2008-04-22 07:41 625,664 ------w C:\WINDOWS\SYSTEM32\DLLCACHE\iexplore.exe

2008-04-22 07:39 13,824 ------w C:\WINDOWS\SYSTEM32\DLLCACHE\ieudinit.exe

2008-04-20 05:07 161,792 ------w C:\WINDOWS\SYSTEM32\DLLCACHE\ieakui.dll

2008-04-13 17:50 1,804 ----a-w C:\WINDOWS\SYSTEM32\dcache.bin

2008-04-13 17:37 332,800 ----a-w C:\WINDOWS\SYSTEM32\netsetup.exe

2008-04-13 17:33 98,816 ----a-w C:\WINDOWS\SYSTEM32\psbase.dll

2008-04-13 17:32 764,416 ----a-w C:\WINDOWS\SYSTEM32\winntbbu.dll

2008-04-13 17:32 61,471 ----a-w C:\WINDOWS\SYSTEM32\odbcji32.dll

2008-04-13 17:32 5,632 ----a-w C:\WINDOWS\SYSTEM32\wmi.dll

2008-04-13 17:08 2,191,104 ----a-w C:\WINDOWS\SYSTEM32\ntoskrnl.exe

2008-04-13 17:07 2,067,968 ----a-w C:\WINDOWS\SYSTEM32\ntkrnlpa.exe

2008-04-13 17:06 4,096 ----a-w C:\WINDOWS\SYSTEM32\dsprpres.dll

2008-04-13 17:04 93,184 ------w C:\WINDOWS\SYSTEM32\msxml6r.dll

2008-04-13 17:04 93,184 ------w C:\WINDOWS\SYSTEM32\DLLCACHE\msxml6r.dll

2008-04-13 17:03 81,920 ------w C:\WINDOWS\SYSTEM32\msshavmsg.dll

2008-04-13 17:02 50,688 ----a-w C:\WINDOWS\SYSTEM32\inetres.dll

2008-04-13 17:01 572,416 ----a-w C:\WINDOWS\SYSTEM32\shdoclc.dll

2008-04-13 16:59 10,240 ----a-w C:\WINDOWS\SYSTEM32\gpkrsrc.dll

2008-04-13 16:58 1,845,760 ----a-w C:\WINDOWS\SYSTEM32\win32k.sys

2008-04-13 16:58 1,647,616 ----a-w C:\WINDOWS\SYSTEM32\winbrand.dll

2008-04-13 16:57 70,144 ----a-w C:\WINDOWS\SYSTEM32\browselc.dll

2008-04-13 16:54 103,936 ----a-w C:\WINDOWS\SYSTEM32\dpcdll.dll

2008-04-13 09:45 17,664 ----a-w C:\WINDOWS\SYSTEM32\watchdog.sys

2008-04-13 09:40 445,440 ----a-w C:\WINDOWS\SYSTEM32\xpob2res.dll

2008-04-13 09:36 2,986,496 ----a-w C:\WINDOWS\SYSTEM32\xpsp2res.dll

2008-04-13 09:35 24,064 ----a-w C:\WINDOWS\SYSTEM32\pidgen.dll

2008-04-13 09:35 197,632 ----a-w C:\WINDOWS\SYSTEM32\xpsp1res.dll

2008-04-13 09:31 7,424 ----a-w C:\WINDOWS\SYSTEM32\kd1394.dll

2008-04-13 09:30 61,440 ----a-w C:\WINDOWS\SYSTEM32\msvcrt40.dll

2008-04-13 08:37 208,384 ----a-w C:\WINDOWS\SYSTEM32\rsaenh.dll

2008-04-13 08:37 138,752 ----a-w C:\WINDOWS\SYSTEM32\dssenh.dll

2008-04-13 08:26 12,288 ----a-w C:\WINDOWS\SYSTEM32\odbcp32r.dll

2008-04-13 08:26 12,288 ----a-w C:\WINDOWS\SYSTEM32\mscpx32r.dll

2008-04-13 08:21 733,696 ----a-w C:\WINDOWS\SYSTEM32\qedwipes.dll

2008-04-13 07:45 216,064 ----a-w C:\WINDOWS\SYSTEM32\moricons.dll

2008-04-13 07:23 48,128 ----a-w C:\WINDOWS\SYSTEM32\msprivs.dll

2008-04-13 06:39 884,736 ----a-w C:\WINDOWS\SYSTEM32\msimsg.dll

2005-02-23 21:49 30,856 ----a-w C:\Documents and Settings\Jean-Michel\Application Data\GDIPFONTCACHEV1.DAT

.

((((((((((((((((((((((((((((( snapshot@2008-07-09_17.27.52.27 )))))))))))))))))))))))))))))))))))))))))

.

- 2008-07-09 15:20:55 2,048 --s-a-w C:\WINDOWS\BOOTSTAT.DAT

+ 2008-07-09 21:55:49 2,048 --s-a-w C:\WINDOWS\BOOTSTAT.DAT

- 2008-04-13 17:33:24 147,968 ----a-w C:\WINDOWS\SYSTEM32\dnsapi.dll

+ 2008-06-20 17:47:22 147,968 ----a-w C:\WINDOWS\SYSTEM32\dnsapi.dll

- 2008-04-13 17:33:28 512,000 ----a-w C:\WINDOWS\SYSTEM32\jscript.dll

+ 2008-05-09 10:55:00 512,000 ----a-w C:\WINDOWS\SYSTEM32\jscript.dll

- 2008-05-29 23:35:11 17,486,968 ----a-w C:\WINDOWS\SYSTEM32\MRT.exe

+ 2008-06-25 16:15:46 17,972,344 ----a-w C:\WINDOWS\SYSTEM32\MRT.exe

- 2007-11-30 11:19:06 18,296 ------w C:\WINDOWS\SYSTEM32\spmsg.dll

+ 2007-11-30 12:39:29 18,296 ------w C:\WINDOWS\SYSTEM32\spmsg.dll

+ 2008-07-09 21:56:34 16,384 ----atw C:\WINDOWS\Temp\Perflib_Perfdata_1c8.dat

.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))

.

REGEDIT4

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{1d1b60fd-b21f-4b9a-8a5f-64e8544828d7}]

2008-07-03 23:32 1569304 --a------ C:\Program Files\Secured_eMule\tbSec1.dll

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{266fcdca-7bb3-4da7-b3bf-f845dea2ebd6}]

2008-07-08 09:36 1569304 --a------ C:\Program Files\IsoBuster\tbIso1.dll

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{3BA3028F-FD37-46BF-AD27-733734684F06}]

2008-07-06 23:58 28800 --a------ C:\WINDOWS\system32\cbXNFvWo.dll

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{45A7BE9F-B6B0-476B-B943-8E47EBEA373C}]

2008-07-07 00:03 318720 --a------ C:\WINDOWS\system32\khfETlMG.dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]

"{1d1b60fd-b21f-4b9a-8a5f-64e8544828d7}"= "C:\Program Files\Secured_eMule\tbSec1.dll" [2008-07-03 23:32 1569304]

"{80123684-A222-4009-8220-A867294D6DE8}"= "C:\WINDOWS\nqgpedlr.dll" [bU]

"{266fcdca-7bb3-4da7-b3bf-f845dea2ebd6}"= "C:\Program Files\IsoBuster\tbIso1.dll" [2008-07-08 09:36 1569304]

[HKEY_CLASSES_ROOT\clsid\{1d1b60fd-b21f-4b9a-8a5f-64e8544828d7}]

[HKEY_CLASSES_ROOT\clsid\{80123684-a222-4009-8220-a867294d6de8}]

[HKEY_CLASSES_ROOT\nqgpedlr.1]

[HKEY_CLASSES_ROOT\TypeLib\{7F62B052-BBD3-476F-A8D5-AEA51D86367A}]

[HKEY_CLASSES_ROOT\nqgpedlr]

[HKEY_CLASSES_ROOT\clsid\{266fcdca-7bb3-4da7-b3bf-f845dea2ebd6}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]

"{1D1B60FD-B21F-4B9A-8A5F-64E8544828D7}"= "C:\Program Files\Secured_eMule\tbSec1.dll" [2008-07-03 23:32 1569304]

[HKEY_CLASSES_ROOT\clsid\{1d1b60fd-b21f-4b9a-8a5f-64e8544828d7}]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2008-04-13 19:34 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2004-10-26 14:01 4632576]

"f86d9ce0"="C:\WINDOWS\system32\eqkcybyv.dll" [bU]

"TkBellExe"="C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" [2006-03-06 22:41 180269]

"SSBkgdUpdate"="C:\Program Files\Fichiers communs\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2003-09-30 00:14 155648]

"PaperPort PTD"="C:\Program Files\ScanSoft\PaperPort\pptd40nt.exe" [2005-03-17 20:17 57393]

"IndexSearch"="C:\Program Files\ScanSoft\PaperPort\IndexSearch.exe" [2005-03-17 20:30 40960]

"ControlCenter2.0"="C:\Program Files\Brother\ControlCenter2\brctrcen.exe" [2005-05-17 18:42 933888]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2008-04-13 19:34 15360]

"AVG7_Run"="C:\PROGRA~1\Grisoft\AVGFRE~1\avgw.exe" [2007-11-05 11:33 219136]

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]

"{3BA3028F-FD37-46BF-AD27-733734684F06}"= "C:\WINDOWS\system32\cbXNFvWo.dll" [2008-07-06 23:58 28800]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]

"okmdepgb"= {95A09031-D2AF-4B75-B66F-03E7068D9040} - C:\WINDOWS\okmdepgb.dll [bU]

"axrfgvek"= {FD314A39-E6CE-4CA0-AAA5-3F5ACFC39748} - C:\WINDOWS\axrfgvek.dll [bU]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\cbXNFvWo]

2008-07-06 23:58 28800 C:\WINDOWS\SYSTEM32\cbXNFvWo.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\WgaLogon]

[bU]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"VIDC.SP40"= SP40_32.DLL

"VIDC.SP41"= SP4X_32.DLL

"VIDC.SP42"= SP4X_32.DLL

"VIDC.SP43"= SP4X_32.DLL

"VIDC.SP44"= SP4X_32.DLL

"VIDC.SP45"= SP4X_32.DLL

"VIDC.SP46"= SP4X_32.DLL

"VIDC.SP47"= SP4X_32.DLL

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Contrôleur d’état.lnk]

backup=C:\WINDOWS\pss\Contrôleur d’état.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Lancement rapide d'Adobe Reader.lnk]

backup=C:\WINDOWS\pss\Lancement rapide d'Adobe Reader.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Logiciel Kodak EasyShare.lnk]

path=C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Kodak\Kodak EasyShare\Logiciel Kodak EasyShare.lnk

backup=C:\WINDOWS\pss\Logiciel Kodak EasyShare.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Microsoft Office.lnk]

backup=C:\WINDOWS\pss\Microsoft Office.lnkCommon Startup

HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]

"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"C:\\Program Files\\Messenger\\MSMSGS.EXE"=

"C:\\WINDOWS\\PCHEALTH\\HELPCTR\\BINARIES\\HelpCtr.exe"=

"C:\\WINDOWS\\SYSTEM32\\RTCSHARE.EXE"=

"C:\\Program Files\\NetMeeting\\CONF.EXE"=

"C:\\StubInstaller.exe"=

"C:\\Program Files\\Grisoft\\AVG Free\\avginet.exe"=

"C:\\Program Files\\iTunes\\iTunes.exe"=

"C:\\Program Files\\Kodak\\Kodak EasyShare software\\bin\\EasyShare.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"C:\\Program Files\\Grisoft\\AVG Free\\avgamsvr.exe"=

"C:\\Program Files\\Grisoft\\AVG Free\\avgcc.exe"=

"C:\\WINDOWS\\SYSTEM32\\LEXPPS.EXE"=

S3 ca506aaf;ADS USB Audio Filter Driver (WDM);C:\WINDOWS\system32\drivers\ca506aaf.sys [2002-04-29 21:01]

S3 fbxusb;FreeBox USB Network Adapter;C:\WINDOWS\system32\DRIVERS\fbxusb.sys [2003-12-31 12:35]

S3 SPCA506AV;USB Instant VCD;C:\WINDOWS\system32\DRIVERS\CA506AV.SYS [2002-07-30 13:09]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{27d19bd2-2ee8-11dd-9d20-0011435e030e}]

\Shell\AutoRun\command - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe uc.vbs

.

Contenu du dossier 'Scheduled Tasks/Tâches planifiées'

"2008-06-20 06:16:10 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job"

- C:\Program Files\Apple Software Update\SoftwareUpdate.exe

"2004-12-14 22:45:12 C:\WINDOWS\Tasks\Rappel d'abonnement 1 auprès de l'ISP.job"

- C:\WINDOWS\system32\OOBE\OOBEBALN.EXE

.

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-07-10 00:00:55

Windows 5.1.2600 Service Pack 3 NTFS

Balayage processus cachés ...

Balayage caché autostart entries ...

Balayage des fichiers cachés ...

Scan terminé avec succès

Les fichiers cachés: 0

**************************************************************************

.

Temps d'accomplissement: 2008-07-10 0:03:01

ComboFix-quarantined-files.txt 2008-07-09 22:02:30

Pre-Run: 16,380,149,760 octets libres

Post-Run: 16,363,614,208 octets libres

299 --- E O F --- 2008-07-09 15:47:45

bruce lee · le 11 juillet 2008

Bonjour zeupa,

1/ Ouvre le Bloc-notes ( Menu Démarrer\Tous les programmes\Accessoires\Bloc-notes)

2/ Copie ce qui est en citation ci-dessous (sans le mot citation) par sélection puis Ctrl-C :

File::
C:\WINDOWS\SYSTEM32\lfyqtqka.dll

C:\WINDOWS\SYSTEM32\khfETlMG.dll

C:\WINDOWS\SYSTEM32\cbXNFvWo.dll

C:\WINDOWS\esrp.exe

C:\WINDOWS\nqgpedlr.dll

Folder::

C:\Program Files\Secured_eMule

C:\Program Files\IsoBuster

Registry::

[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{1d1b60fd-b21f-4b9a-8a5f-64e8544828d7}]

[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{266fcdca-7bb3-4da7-b3bf-f845dea2ebd6}]

[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{45A7BE9F-B6B0-476B-B943-8E47EBEA373C}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]

"{1d1b60fd-b21f-4b9a-8a5f-64e8544828d7}"=-

"{80123684-A222-4009-8220-A867294D6DE8}"=-

"{266fcdca-7bb3-4da7-b3bf-f845dea2ebd6}"=-

[-HKEY_CLASSES_ROOT\clsid\{1d1b60fd-b21f-4b9a-8a5f-64e8544828d7}]

[-HKEY_CLASSES_ROOT\clsid\{80123684-a222-4009-8220-a867294d6de8}]

[-HKEY_CLASSES_ROOT\nqgpedlr.1]

[-HKEY_CLASSES_ROOT\TypeLib\{7F62B052-BBD3-476F-A8D5-AEA51D86367A}]

[-HKEY_CLASSES_ROOT\nqgpedlr]

[-HKEY_CLASSES_ROOT\clsid\{266fcdca-7bb3-4da7-b3bf-f845dea2ebd6}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]

"{1D1B60FD-B21F-4B9A-8A5F-64E8544828D7}"=-

[-HKEY_CLASSES_ROOT\clsid\{1d1b60fd-b21f-4b9a-8a5f-64e8544828d7}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"f86d9ce0"=-

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]

"{3BA3028F-FD37-46BF-AD27-733734684F06}"=-

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]

"okmdepgb"=-

"axrfgvek"=-

[-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\cbXNFvWo]

-Enregistre ce fichier dans: Bureau

-Nom du fichier : CFScript

-Type du fichier : tous les fichiers

-clique sur Enregistrer

-quitte le Bloc Notes

[*]Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture

Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort), tape 1 puis valide.
Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!
Ne touche à rien tant que le scan n'est pas terminé.
Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

zeupa · le 11 juillet 2008

Bonsoir Bruce Lee,

voici le Log:

ComboFix 08-07-11.1 - Jean-Michel 2008-07-11 23:35:26.3 - NTFSx86

Microsoft Windows XP Édition familiale 5.1.2600.3.1252.1.1036.18.220 [GMT 2:00]

Endroit: C:\Documents and Settings\Jean-Michel\Bureau\ComboFix.exe

Command switches used :: C:\Documents and Settings\Jean-Michel\Bureau\CFScript.txt

* Création d'un nouveau point de restauration

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

FILE ::

C:\WINDOWS\esrp.exe

C:\WINDOWS\nqgpedlr.dll

C:\WINDOWS\SYSTEM32\cbXNFvWo.dll

C:\WINDOWS\SYSTEM32\khfETlMG.dll

C:\WINDOWS\SYSTEM32\lfyqtqka.dll

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

C:\Program Files\IsoBuster

C:\Program Files\IsoBuster\INSTALL.LOG

C:\Program Files\IsoBuster\IsoBusterToolbarHelper.exe

C:\Program Files\IsoBuster\tbIso1.dll

C:\Program Files\IsoBuster\tbIsoB.dll

C:\Program Files\IsoBuster\toolbar.cfg

C:\Program Files\IsoBuster\UNWISE.EXE

C:\Program Files\Secured_eMule

C:\Program Files\Secured_eMule\INSTALL.LOG

C:\Program Files\Secured_eMule\tbSec0.dll

C:\Program Files\Secured_eMule\tbSec1.dll

C:\Program Files\Secured_eMule\tbSecu.dll

C:\Program Files\Secured_eMule\toolbar.cfg

C:\Program Files\Secured_eMule\UNWISE.EXE

C:\WINDOWS\esrp.exe

C:\WINDOWS\SYSTEM32\cbXNFvWo.dll

C:\WINDOWS\SYSTEM32\khfETlMG.dll

C:\WINDOWS\SYSTEM32\lfyqtqka.dll

C:\WINDOWS\system32\oeminfo.ini

.

((((((((((((((((((((((((((((( Fichiers créés 2008-06-11 to 2008-07-11 ))))))))))))))))))))))))))))))))))))