[Résolu] PC infecté (virus)

[K38]

Bonsoir a tous !

 

J'ai eu un problème recent avec des virus que j'ai réussi à enlever suite au scan de Kaspersky et de spybot. Mais je suis régulièrement déconnecter d'Internet et la seule façon de la récupérer est de rebooter ma freebox !!!

 

Merci pour votre aide.

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 20:38:40, on 29/07/2008

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Boot mode: Normal

 

Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\system32\spoolsv.exe

C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\system32\regsvc.exe

C:\WINNT\system32\MSTask.exe

C:\WINNT\system32\stisvc.exe

C:\WINNT\System32\WBEM\WinMgmt.exe

C:\WINNT\system32\mspmspsv.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\Explorer.EXE

C:\Program Files\Hewlett-Packard\Digital Imaging\Unload\hpqcmon.exe

C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe

C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe

C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\WINNT\system32\internat.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

C:\Program Files\FreePCvcR\FreePCvcR.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.yahoo.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: {EA551C00-2AE5-11d3-8592-00A0C98E9EA4} - - (no file)

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\ievkbd.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll

O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx

O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll

O4 - HKLM\..\Run: [synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [CamMonitor] C:\Program Files\Hewlett-Packard\Digital Imaging\\Unload\hpqcmon.exe

O4 - HKLM\..\Run: [share-to-Web Namespace Daemon] C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

O4 - HKLM\..\Run: [updt Service] updt.pif

O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"

O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\RunServices: [updt Service] updt.pif

O4 - HKCU\..\Run: [internat.exe] internat.exe

O4 - HKCU\..\Run: [updt Service] updt.pif

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\RunServices: [updt Service] updt.pif

O4 - HKUS\.DEFAULT\..\Run: [internat.exe] internat.exe (User 'Default user')

O4 - HKUS\.DEFAULT\..\Run: [updt Service] updt.pif (User 'Default user')

O4 - HKUS\.DEFAULT\..\RunOnce: [^SetupICWDesktop] C:\Program Files\Internet Explorer\Connection Wizard\icwconn1.exe /desktop (User 'Default user')

O4 - HKUS\.DEFAULT\..\RunServices: [updt Service] updt.pif (User 'Default user')

O4 - Startup: FreePCvcR.lnk = C:\Program Files\FreePCvcR\FreePCvcR.exe

O4 - Global Startup: hp psc 1000 series.lnk = C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe

O4 - Global Startup: hpoddt01.exe.lnk = C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://c:\program files\google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Recherche &Google - res://c:\program files\google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar1.dll/cmcache.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra button: Statistiques de la protection du trafic Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\SCIEPlgn.dll

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm (file missing)

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm (file missing)

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O16 - DPF: {05D96F71-87C6-11D3-9BE4-00902742D6E0} (QuickPlace Class) - http://intranet.upmf-grenoble.fr/qp2.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1132315772357

O16 - DPF: {B79A53C0-1DAC-4636-BACE-FD086A7A79BF} (AdSignerLCContrl Class) - https://static.impots.gouv.fr/tdir/static/a...gnerADP-1.1.cab

O16 - DPF: {C5E28B9D-0A68-4B50-94E9-E8F6B4697519} (NsvPlayX Control) - http://www.nullsoft.com/nsv/embed/nsvplayx_vp6_aac.cab

O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd.dll

O23 - Service: Kaspersky Anti-Virus (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe

O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINNT\system32\HPZipm12.exe

 

--

End of file - 7727 bytes

Modifié le 30 juillet 2008 par K38

[Falkra]

Bonsoir, intéressante variante, on va shooter ça à la main.

 

Ce qui suit n'est que pour ta machine, et ta machine seulement.

Ne pas utiliser sur une autre machine : dangereux.

 

Télécharge combofix.exe de sUBs et sauvegarde le sur ton bureau (et pas ailleurs).

• Assure toi que tous les programmes sont fermés avant de commencer.
  
• Double-clique combofix.exe afin de l'exécuter.
  
• Clique sur "Oui" au message de Limitation de Garantie qui s'affiche.
  
• Il est possible que ton pare-feu (firewall) te demande si tu acceptes ou non l'accès de nircmd.cfexe à la zone sûre: accepte.
  
• Ne ferme pas la fenêtre qui vient de s'ouvrir, tu te retrouverais avec un bureau vide.
  
• Lorsque l'analyse sera terminée, un rapport apparaîtra.
  
• Copie-colle ce rapport dans ta prochaine réponse.
  Le rapport se trouve dans : C:\Combofix.txt (si jamais).
  

[K38]

Voici le rapport ComboFix

 

ComboFix 08-07-28.7 - Karim 29/07/2008 21:52:19.1 - NTFSx86

Microsoft Windows 2000 Professionnel 5.0.2195.4.1252.1.1036.18.45 [GMT 2:00]

Endroit: d:\Documents and Settings\Karim\Bureau\ComboFix.exe

 

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

.

 

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

 

C:\WINNT\system32\mdm.exe

C:\WINNT\Web\default.htt

 

.

((((((((((((((((((((((((((((( Fichiers cr‚‚s 2008-06-28 to 2008-07-29 ))))))))))))))))))))))))))))))))))))

.

 

2008-07-29 20:37 . 08-07-29 20:37 <DIR> d-------- C:\Program Files\Trend Micro

2008-07-27 14:02 . 08-07-28 15:56 <DIR> d-------- C:\Program Files\RegCleaner

2008-07-27 14:00 . 08-07-27 14:00 553,687 --a------ C:\RegCleaner.exe

2008-07-27 01:27 . 08-07-29 14:39 <DIR> d-------- d:\Documents and Settings\Karim\.housecall6.6

2008-07-26 01:00 . 08-07-26 07:57 96,559 --a------ C:\WINNT\system32\drivers\klin.dat

2008-07-26 01:00 . 08-07-26 07:57 87,855 --a------ C:\WINNT\system32\drivers\klick.dat

2008-07-26 00:59 . 08-07-29 22:14 <DIR> d-------- d:\Documents and Settings\All Users\Application Data\Kaspersky Lab

2008-07-26 00:59 . 08-07-26 00:59 <DIR> d-------- C:\Program Files\Kaspersky Lab

2008-07-26 00:49 . 08-07-26 00:49 <DIR> d-------- d:\Documents and Settings\All Users\Application Data\Kaspersky Lab Setup Files

2008-07-26 00:49 . 08-07-26 00:49 28,664,592 --a------ C:\kav8.0.0.357fr.exe

2008-07-25 19:16 . 08-07-25 20:13 <DIR> d-------- C:\Program Files\Spybot - Search & Destroy

2008-07-05 08:51 . 08-07-05 08:51 2,335 --a------ C:\WINNT\5

2008-07-05 08:51 . 08-07-05 08:51 988 --a------ C:\WINNT\I

 

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-07-25 21:01 --------- d-----w d:\Documents and Settings\All Users\Application Data\AntiVir PersonalEdition classic

2008-07-25 19:57 --------- d---a-w d:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy

2008-07-21 21:09 --------- d-----w C:\Program Files\Java

2008-07-09 22:59 --------- d-----w C:\Program Files\eMule

2008-06-25 09:42 67,344 ----a-w C:\WINNT\system32\mswsock.dll

2008-06-25 09:42 105,744 ----a-w C:\WINNT\system32\msafd.dll

2008-06-18 10:05 320,528 ----a-w C:\WINNT\system32\drivers\tcpip.sys

2008-05-01 18:09 1,665,536 ----a-w C:\WINNT\system32\quartz.dll

2006-08-18 16:22 302 ---ha-w C:\Program Files\hpothb07.dat

2006-08-18 16:20 513 ---ha-w C:\Program Files\hpothb07.tif

2006-06-10 09:09 164 -c-ha-w d:\Documents and Settings\All Users\hpothb07.dat

2006-06-10 09:09 0 -c-ha-w d:\Documents and Settings\Alain\hpothb07.dat

2006-03-31 22:14 0 -c-ha-w d:\Documents and Settings\Christine\hpothb07.dat

2006-03-31 22:14 0 -c-ha-w d:\Documents and Settings\Administrateur\hpothb07.dat

2005-11-16 21:50 271 ---h--w C:\Program Files\desktop.ini

2005-11-16 21:50 22,115 ---h--w C:\Program Files\folder.htt

2001-05-08 00:00 32,528 -c--a-w C:\WINNT\inf\wbfirdma.sys

.

 

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))

.

.

REGEDIT4

*Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"SpybotSD TeaTimer"="C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe" [08-07-07 09:42 2156368]

"internat.exe"="internat.exe" [01-05-08 02:00 20752 C:\WINNT\system32\internat.exe]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CamMonitor"="C:\Program Files\Hewlett-Packard\Digital Imaging\\Unload\hpqcmon.exe" [02-10-07 01:23 90112]

"Share-to-Web Namespace Daemon"="C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe" [02-04-17 11:42 69632]

"QuickTime Task"="C:\Program Files\QuickTime\qttask.exe" [06-06-14 20:53 282624]

"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe" [08-06-10 04:27 144784]

"TkBellExe"="C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" [05-11-21 23:26 180269]

"AVP"="C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe" [08-04-25 18:21 201992]

"Synchronization Manager"="mobsync.exe" [03-06-19 12:05 111888 C:\WINNT\system32\mobsync.exe]

 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"internat.exe"="internat.exe" [01-05-08 02:00 20752 C:\WINNT\system32\internat.exe]

 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]

"^SetupICWDesktop"="C:\Program Files\Internet Explorer\Connection Wizard\icwconn1.exe" [03-06-19 12:05 189712]

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"aux"= mmdrv.dll

 

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"antivirusdisablenotify"=dword:00000001

"firewalldisableoverride"=dword:00000001

 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\KasperskyAntiVirus]

"DisableMonitoring"=dword:00000001

 

 

*Newly Created Service* - IPNAT

*Newly Created Service* - SHAREDACCESS

.

Contenu du dossier 'Scheduled Tasks/Tƒches planifi‚es'

 

2006-03-19 C:\WINNT\Tasks\FRU Task #Hewlett-Packard#hp psc 1100 series#1132827445.job

- C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpqfrucl.exe [03-04-06 01:52 ]

.

- - - - ORPHANS REMOVED - - - -

 

HKCU-Run-Updt Service - updt.pif

HKCU-RunServices-Updt Service - updt.pif

HKLM-Run-Adobe Photo Downloader - C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe

HKLM-Run-Updt Service - updt.pif

HKLM-Run-SecuUFD - (no file)

HKLM-RunServices-Updt Service - updt.pif

HKU-Default-Run-Updt Service - updt.pif

HKU-Default-RunServices-Updt Service - updt.pif

ShellExecuteHooks-{EDB0E980-90BD-11D4-8599-0008C7D3B6F8} - C:\Program Files\Qualcomm\Eudora\EuShlExt.dll

 

 

.

------- Supplementary Scan -------

.

R0 -: HKCU-Main,Start Page = hxxp://fr.yahoo.com/

O8 -: &Traduire à partir de l'anglais - c:\program files\google\GoogleToolbar1.dll/cmwordtrans.html

O8 -: Pages liées - c:\program files\google\GoogleToolbar1.dll/cmbacklinks.html

O8 -: Pages similaires - c:\program files\google\GoogleToolbar1.dll/cmsimilar.html

O8 -: Recherche &Google - c:\program files\google\GoogleToolbar1.dll/cmsearch.html

O8 -: Version de la page actuelle disponible dans le cache Google - c:\program files\google\GoogleToolbar1.dll/cmcache.html

O9 -: {c95fe080-8f5d-11d2-a20b-00aa003c157a} - %SystemRoot%\web\related.htm

 

O16 -: {B79A53C0-1DAC-4636-BACE-FD086A7A79BF} - hxxps://static.impots.gouv.fr/tdir/static/adpform/AdSignerADP-1.1.cab

C:\WINNT\Downloaded Program Files\AdSignerADP.inf

C:\WINNT\system32\msvcp60.dll

C:\WINNT\system32\atl.dll

C:\WINNT\Downloaded Program Files\AdVerifierADP.dll

C:\WINNT\Downloaded Program Files\AdSignerADP.dll

 

O16 -: {C5E28B9D-0A68-4B50-94E9-E8F6B4697519} - hxxp://www.nullsoft.com/nsv/embed/nsvplayx_vp6_aac.cab

C:\WINNT\Downloaded Program Files\nsvplayx_vp6_aac.inf

 

 

**************************************************************************

 

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-07-29 22:11:06

Windows 5.0.2195 Service Pack 4 NTFS

 

Balayage processus cach‚s ...

 

Balayage cach‚ autostart entries ...

 

Balayage des fichiers cach‚s ...

 

Scan termin‚ avec succŠs

Les fichiers cach‚s: 0

 

**************************************************************************

.

Temps d'accomplissement: 2008-07-29 22:23:45 - machine was rebooted

ComboFix-quarantined-files.txt 2008-07-29 20:23:23

 

Pre-Run: 3,302,154,240 octets libres

Post-Run: 3,240,062,976 octets libres

 

123 --- E O F --- 2008-07-09 22:27:06

[Falkra]

Ce qui suit n'est que pour ta machine, et ta machine seulement.

Ne pas utiliser sur une autre machine : dangereux.

 

• Désactive ton antivirus, il peut gêner.
  
• Ouvre le bloc notes. Copie colle ceci dedans :
  

 

Registry::

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"antivirusdisablenotify"=-

"firewalldisableoverride"=-

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\KasperskyAntiVirus]

"DisableMonitoring"=-

 

 

• Sauvegarde cela comme fichier texte nommé CFScript, sur le bureau.
   
  
• Fais un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture
  

• Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal ! Ne touche à rien tant que le scan n'est pas terminé.
  
• Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
  
• Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt
  

 

Ensuite ajoute un nouveau rapport HijackThis stp après ce rapport là, et réactive ton antivirus.

[K38]

Voici le rapport ComboFix

 

ComboFix 08-07-28.7 - Karim 29/07/2008 22:58:06.2 - NTFSx86

Endroit: D:\Documents and Settings\Karim\Bureau\ComboFix.exe

Command switches used :: d:\Documents and Settings\Karim\Bureau\CFScript.txt

 

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

.

 

((((((((((((((((((((((((((((( Fichiers créés 2008-06-28 to 2008-07-29 ))))))))))))))))))))))))))))))))))))

.

 

2008-07-29 20:37 . 08-07-29 20:37 <DIR> d-------- C:\Program Files\Trend Micro

2008-07-27 14:02 . 08-07-28 15:56 <DIR> d-------- C:\Program Files\RegCleaner

2008-07-27 14:00 . 08-07-27 14:00 553,687 --a------ C:\RegCleaner.exe

2008-07-27 01:27 . 08-07-29 14:39 <DIR> d-------- d:\Documents and Settings\Karim\.housecall6.6

2008-07-26 01:00 . 08-07-26 07:57 96,559 --a------ C:\WINNT\system32\drivers\klin.dat

2008-07-26 01:00 . 08-07-26 07:57 87,855 --a------ C:\WINNT\system32\drivers\klick.dat

2008-07-26 00:59 . 08-07-29 22:14 <DIR> d-------- d:\Documents and Settings\All Users\Application Data\Kaspersky Lab

2008-07-26 00:59 . 08-07-26 00:59 <DIR> d-------- C:\Program Files\Kaspersky Lab

2008-07-26 00:49 . 08-07-26 00:49 <DIR> d-------- d:\Documents and Settings\All Users\Application Data\Kaspersky Lab Setup Files

2008-07-26 00:49 . 08-07-26 00:49 28,664,592 --a------ C:\kav8.0.0.357fr.exe

2008-07-25 19:16 . 08-07-25 20:13 <DIR> d-------- C:\Program Files\Spybot - Search & Destroy

2008-07-05 08:51 . 08-07-05 08:51 2,335 --a------ C:\WINNT\5

2008-07-05 08:51 . 08-07-05 08:51 988 --a------ C:\WINNT\I

 

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-07-25 21:01 --------- d-----w d:\Documents and Settings\All Users\Application Data\AntiVir PersonalEdition classic

2008-07-25 19:57 --------- d---a-w d:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy

2008-07-21 21:09 --------- d-----w C:\Program Files\Java

2008-07-09 22:59 --------- d-----w C:\Program Files\eMule

2008-06-25 09:42 67,344 ----a-w C:\WINNT\system32\mswsock.dll

2008-06-25 09:42 105,744 ----a-w C:\WINNT\system32\msafd.dll

2008-06-18 10:05 320,528 ----a-w C:\WINNT\system32\drivers\tcpip.sys

2008-05-01 18:09 1,665,536 ----a-w C:\WINNT\system32\quartz.dll

2006-08-18 16:22 302 ---ha-w C:\Program Files\hpothb07.dat

2006-08-18 16:20 513 ---ha-w C:\Program Files\hpothb07.tif

2006-06-10 09:09 164 -c-ha-w d:\Documents and Settings\All Users\hpothb07.dat

2006-06-10 09:09 0 -c-ha-w d:\Documents and Settings\Alain\hpothb07.dat

2006-03-31 22:14 0 -c-ha-w d:\Documents and Settings\Christine\hpothb07.dat

2006-03-31 22:14 0 -c-ha-w d:\Documents and Settings\Administrateur\hpothb07.dat

2005-11-16 21:50 271 ---h--w C:\Program Files\desktop.ini

2005-11-16 21:50 22,115 ---h--w C:\Program Files\folder.htt

2001-05-08 00:00 32,528 -c--a-w C:\WINNT\inf\wbfirdma.sys

.

 

((((((((((((((((((((((((((((( snapshot@mar. 2008-07-29_22.21.41.87 )))))))))))))))))))))))))))))))))))))))))

.

- 2005-11-20 14:44:11 2,658 -c--a-w C:\WINNT\mozver.dat

+ 2008-07-29 20:46:29 3,294 -c--a-w C:\WINNT\mozver.dat

+ 2008-03-24 18:21:00 2,889,088 ----a-w C:\WINNT\system32\Macromed\Flash\NPSWF32.dll

+ 2008-03-24 18:21:00 218,496 ----a-w C:\WINNT\system32\Macromed\Flash\NPSWF32_FlashUtil.exe

.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))

.

.

REGEDIT4

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"SpybotSD TeaTimer"="C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe" [08-07-07 09:42 2156368]

"internat.exe"="internat.exe" [01-05-08 02:00 20752 C:\WINNT\system32\internat.exe]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CamMonitor"="C:\Program Files\Hewlett-Packard\Digital Imaging\\Unload\hpqcmon.exe" [02-10-07 01:23 90112]

"Share-to-Web Namespace Daemon"="C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe" [02-04-17 11:42 69632]

"QuickTime Task"="C:\Program Files\QuickTime\qttask.exe" [06-06-14 20:53 282624]

"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe" [08-06-10 04:27 144784]

"TkBellExe"="C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" [05-11-21 23:26 180269]

"AVP"="C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe" [08-04-25 18:21 201992]

"Synchronization Manager"="mobsync.exe" [03-06-19 12:05 111888 C:\WINNT\system32\mobsync.exe]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]

"Updt Service"="updt.pif" [bU]

 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"internat.exe"="internat.exe" [01-05-08 02:00 20752 C:\WINNT\system32\internat.exe]

 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]

"^SetupICWDesktop"="C:\Program Files\Internet Explorer\Connection Wizard\icwconn1.exe" [03-06-19 12:05 189712]

 

D:\Documents and Settings\Karim\Menu D‚marrer\Programmes\D‚marrage\

FreePCvcR.lnk - C:\Program Files\FreePCvcR\FreePCvcR.exe [2006-01-05 19:32:52 1352704]

 

D:\Documents and Settings\All Users\Menu D‚marrer\Programmes\D‚marrage\

hp psc 1000 series.lnk - C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe [2003-04-06 02:17:18 147456]

hpoddt01.exe.lnk - C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe [2003-04-06 02:06:58 28672]

Lancement rapide d'Adobe Reader.lnk - C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe [2005-09-23 23:05:26 29696]

Microsoft Office.lnk - C:\Program Files\Microsoft Office\Office\OSA9.EXE [1999-02-17 22:05:56 65588]

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"aux"= mmdrv.dll

 

R0 avgntmgr;avgntmgr;C:\WINNT\system32\drivers\avgntmgr.sys [08-04-20 12:48 ]

R0 klbg;Kaspersky Lab Boot Guard Driver;C:\WINNT\system32\drivers\klbg.sys [08-01-29 18:29 ]

R1 avgntdd;avgntdd;C:\WINNT\system32\DRIVERS\avgntdd.sys [08-07-21 23:10 ]

R3 fbxusb;FreeBox USB Network Adapter;C:\WINNT\system32\DRIVERS\fbxusb.sys [03-12-31 12:35 ]

R3 klim5;Kaspersky Anti-Virus NDIS Filter;C:\WINNT\system32\DRIVERS\klim5.sys [08-03-25 20:07 ]

S3 EL3C574;Pilote pour périphérique FE574B-3Com 10/100 LAN PCCard;C:\WINNT\system32\DRIVERS\el574nd4.sys [99-09-25 04:16 ]

 

*Newly Created Service* - IPNAT

*Newly Created Service* - SHAREDACCESS

.

Contenu du dossier 'Scheduled Tasks/Tâches planifiées'

 

2006-03-19 C:\WINNT\Tasks\FRU Task #Hewlett-Packard#hp psc 1100 series#1132827445.job

- C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpqfrucl.exe [03-04-06 01:52 ]

.

**************************************************************************

 

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-07-29 23:02:07

Windows 5.0.2195 Service Pack 4 NTFS

 

Balayage processus cachés ...

 

Balayage caché autostart entries ...

 

Balayage des fichiers cachés ...

 

Scan terminé avec succès

Les fichiers cachés: 0

 

**************************************************************************

.

Temps d'accomplissement: 2008-07-29 23:06:00

ComboFix-quarantined-files.txt 2008-07-29 21:05:45

ComboFix2.txt 2008-07-29 20:23:50

 

Pre-Run: 3,239,100,416 octets libres

Post-Run: 3,232,841,728 octets libres

 

108 --- E O F --- 2008-07-09 22:27:06

[Falkra]

Re.

 

Il ne doit pas rester grand chose, poste un nouveau rapport HijackThis stp.

[K38]

Voici le rapport HijackThis

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 23:08:44, on 29/07/2008

Platform: Windows 2000 SP4 (WinNT 5.00.2195)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Boot mode: Normal

 

Running processes:

C:\WINNT\System32\smss.exe

C:\WINNT\system32\winlogon.exe

C:\WINNT\system32\services.exe

C:\WINNT\system32\lsass.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\system32\spoolsv.exe

C:\WINNT\system32\svchost.exe

C:\WINNT\system32\regsvc.exe

C:\WINNT\system32\stisvc.exe

C:\WINNT\System32\WBEM\WinMgmt.exe

C:\WINNT\system32\mspmspsv.exe

C:\WINNT\system32\svchost.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\Unload\hpqcmon.exe

C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe

C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\WINNT\system32\internat.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

C:\Program Files\FreePCvcR\FreePCvcR.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe

C:\WINNT\explorer.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\WINNT\system32\notepad.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.yahoo.com/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: {EA551C00-2AE5-11d3-8592-00A0C98E9EA4} - - (no file)

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\ievkbd.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll

O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx

O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll

O4 - HKLM\..\Run: [synchronization Manager] mobsync.exe /logon

O4 - HKLM\..\Run: [CamMonitor] C:\Program Files\Hewlett-Packard\Digital Imaging\\Unload\hpqcmon.exe

O4 - HKLM\..\Run: [share-to-Web Namespace Daemon] C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe"

O4 - HKLM\..\RunServices: [updt Service] updt.pif

O4 - HKCU\..\Run: [internat.exe] internat.exe

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKUS\.DEFAULT\..\Run: [internat.exe] internat.exe (User 'Default user')

O4 - HKUS\.DEFAULT\..\RunOnce: [^SetupICWDesktop] C:\Program Files\Internet Explorer\Connection Wizard\icwconn1.exe /desktop (User 'Default user')

O4 - Startup: FreePCvcR.lnk = C:\Program Files\FreePCvcR\FreePCvcR.exe

O4 - Global Startup: hp psc 1000 series.lnk = C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe

O4 - Global Startup: hpoddt01.exe.lnk = C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://c:\program files\google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Recherche &Google - res://c:\program files\google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar1.dll/cmcache.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra button: Statistiques de la protection du trafic Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\SCIEPlgn.dll

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm (file missing)

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm (file missing)

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O16 - DPF: {05D96F71-87C6-11D3-9BE4-00902742D6E0} (QuickPlace Class) - http://intranet.upmf-grenoble.fr/qp2.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1132315772357

O16 - DPF: {B79A53C0-1DAC-4636-BACE-FD086A7A79BF} (AdSignerLCContrl Class) - https://static.impots.gouv.fr/tdir/static/a...gnerADP-1.1.cab

O16 - DPF: {C5E28B9D-0A68-4B50-94E9-E8F6B4697519} (NsvPlayX Control) - http://www.nullsoft.com/nsv/embed/nsvplayx_vp6_aac.cab

O23 - Service: Kaspersky Anti-Virus (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe

O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINNT\system32\HPZipm12.exe

 

--

End of file - 7284 bytes

[Falkra]

Relance HijackThis, coche les lignes suivantes et clique sur le bouton Fix checked, en bas à gauche :

R3 - URLSearchHook: {EA551C00-2AE5-11d3-8592-00A0C98E9EA4} - - (no file)

O4 - HKLM\..\RunServices: [updt Service] updt.pif

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm (file missing)

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm (file missing)

 

Si tu veux alléger ton démarrage, tu peux faire la même chose avec ces lignes (mais ce ne sont pas des contenus infectieux, facultatif donc pas obligé) :

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

[K38]

C'est bon c'est fait !!!

 

Dois-je relancer quelque chose ?

[Falkra]

Pas pour le moment.

 

As-tu encore des symptômes infectieux ?