Pop up intempestives et virus qui revient sans arret!

Cassidy · le 31 juillet 2008

Bonjour

Donc le souci c'est que depuis un bon moment déjà, des fenêtres intempestives s'invitent sur mon ordi. Mon Antivirus Firewall ne détecte rien :s .J'ai donc téléchargé Avira qui n'arrete pas d'me signaler qu'un virus ( Procia.exe ) est détecté. Voila mon rapport Hijackthis :

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 15:15:06, on 31/07/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\INTERN~1\backweb\7431218\Program\SERVIC~1.EXE

C:\WINDOWS\System32\cisvc.exe

C:\Program Files\Internet Explorer\Anti-Virus\fsgk32st.exe

C:\Program Files\Internet Explorer\Anti-Virus\FSGK32.EXE

C:\Program Files\Internet Explorer\backweb\7431218\program\fsbwsys.exe

C:\Program Files\Internet Explorer\Common\FSMA32.EXE

C:\Program Files\Internet Explorer\Anti-Virus\fssm32.exe

C:\WINDOWS\System32\FTRTSVC.exe

C:\Program Files\Internet Explorer\Common\FSMB32.EXE

C:\WINDOWS\system32\slserv.exe

C:\WINDOWS\System32\snmp.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Internet Explorer\Common\FCH32.EXE

C:\WINDOWS\wanmpsvc.exe

C:\Program Files\Internet Explorer\Common\FAMEH32.EXE

C:\Program Files\Internet Explorer\Anti-Virus\fsqh.exe

C:\Program Files\Internet Explorer\Anti-Virus\fsrw.exe

C:\Program Files\Internet Explorer\FWES\Program\fsdfwd.exe

C:\Program Files\Internet Explorer\Anti-Virus\fsav32.exe

C:\WINDOWS\system32\cidaemon.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\Internet Explorer\Common\FSM32.EXE

C:\PROGRA~1\INTERN~1\ANTI-S~1\fsaw.exe

C:\Program Files\Internet Explorer\FSGUI\fsguidll.exe

C:\Program Files\Creative\Shared Files\CAMTRAY.EXE

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe

C:\Program Files\Internet Explorer\FSGUI\ispnews.exe

C:\PROGRA~1\Wanadoo\TaskBarIcon.exe

C:\Program Files\Internet Explorer\backweb\7431218\Program\fspex.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe

C:\PROGRA~1\Wanadoo\GestionnaireInternet.exe

C:\PROGRA~1\Wanadoo\ComComp.exe

C:\PROGRA~1\Wanadoo\Toaster.exe

C:\WINDOWS\System32\ALERTM~1\ALERTM~1.EXE

C:\PROGRA~1\Wanadoo\Inactivity.exe

C:\PROGRA~1\Wanadoo\PollingModule.exe

C:\PROGRA~1\Wanadoo\Watch.exe

C:\Program Files\Windows Live\Messenger\msnmsgr.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\Windows Live\Messenger\usnsvc.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avscan.exe

C:\Documents and Settings\Th£ WoRlD oF CasSidy\Bureau\HiJackThis.exe

C:\WINDOWS\system32\wuauclt.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = file://C:\APPS\IE\offline\fr.htm

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Orange

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\yt.dll

O3 - Toolbar: (no name) - {53E0B6E8-A51D-448B-B692-40B67B285543} - (no file)

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O4 - HKLM\..\Run: [VTTimer] VTTimer.exe

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\Securitoo\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW

O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\Internet Explorer\Common\FSM32.EXE" /splash

O4 - HKLM\..\Run: [Creative WebCam Tray] C:\Program Files\Creative\Shared Files\CAMTRAY.EXE

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"

O4 - HKLM\..\Run: [ML1HelperStartUp] C:\PROGRA~1\MIDNIG~1\ML1HEL~1.EXE /partner ML1

O4 - HKLM\..\Run: [AQ3HelperStartUp] C:\PROGRA~1\AQUATI~1\AQ3HEL~1.EXE /partner AQ3

O4 - HKLM\..\Run: [spySpotter System Defender] C:\Program Files\SpySpotter3\Defender.exe -startup

O4 - HKLM\..\Run: [F-Secure Startup Wizard] "C:\Program Files\Internet Explorer\FSGUI\FSSW.EXE" /reboot

O4 - HKLM\..\Run: [News Service] "C:\Program Files\Internet Explorer\FSGUI\ispnews.exe"

O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe

O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\GestMaj.exe TaskBarIcon.exe

O4 - HKLM\..\Run: [riiurok] c:\windows\system32\riiurok.exe riiurok

O4 - HKLM\..\Run: [ieokceqyxt] c:\windows\system32\ieokceqyxt.exe ieokceqyxt

O4 - HKLM\..\Run: [wewseiusq] c:\windows\system32\wewseiusq.exe wewseiusq

O4 - HKLM\..\Run: [womewos] c:\windows\system32\womewos.exe womewos

O4 - HKLM\..\Run: [meuem] c:\windows\system32\meuem.exe meuem

O4 - HKLM\..\Run: [sgosu] c:\windows\system32\sgosu.exe sgosu

O4 - HKLM\..\Run: [msquowq] c:\windows\system32\msquowq.exe msquowq

O4 - HKLM\..\Run: [ksqmk] c:\windows\system32\ksqmk.exe ksqmk

O4 - HKLM\..\Run: [amwauok] c:\windows\system32\amwauok.exe amwauok

O4 - HKLM\..\Run: [umgse] c:\windows\system32\umgse.exe umgse

O4 - HKLM\..\Run: [ukqsk] c:\windows\system32\ukqsk.exe ukqsk

O4 - HKLM\..\Run: [gsgua] c:\windows\system32\gsgua.exe gsgua

O4 - HKLM\..\Run: [ckocm] c:\windows\system32\ckocm.exe ckocm

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKCU\..\Run: [WOOKIT] C:\PROGRA~1\Wanadoo\Shell.exe appLaunchClientZone.shl|PARAM= cnx

O4 - HKCU\..\Run: [Orange Link] "C:\PROGRA~1\ORANGE~1\APPLIC~1\CommunicationAgent\CommunicationAgent.exe" -ICom_StartNoSplashScreen

O4 - HKCU\..\Run: [Yahoo! Pager] "C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe" -quiet

O4 - HKUS\S-1-5-21-1115034969-3688569970-1850989012-1005\..\Run: [WOOKIT] C:\Program Files\Wanadoo\Shell.exe appLaunchClientZone.shl|PARAM= cnx (User 'CHALDER')

O4 - HKUS\S-1-5-21-1115034969-3688569970-1850989012-1005\..\Run: [instant Access] C:\WINDOWS\system32\procia.exe /run (User 'CHALDER')

O4 - HKUS\S-1-5-21-1115034969-3688569970-1850989012-1005\..\Run: [Orange Link] "C:\PROGRA~1\ORANGE~1\APPLIC~1\CommunicationAgent\CommunicationAgent.exe" -ICom_StartNoSplashScreen (User 'CHALDER')

O4 - HKUS\S-1-5-21-1115034969-3688569970-1850989012-1005\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe (User 'CHALDER')

O4 - HKUS\S-1-5-21-1115034969-3688569970-1850989012-1005\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background (User 'CHALDER')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Antivirus Firewall.lnk = C:\Program Files\Internet Explorer\backweb\7431218\Program\fspex.exe

O4 - Global Startup: hp psc 1000 series.lnk = ?

O4 - Global Startup: hpoddt01.exe.lnk = ?

O8 - Extra context menu item: &Bloquer cette fenêtre publicitaire - C:\Program Files\Internet Explorer\Anti-Spyware\blockpopups.htm

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll

O9 - Extra button: Protection Internet Explorer - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Program Files\Internet Explorer\Anti-Spyware\ieshield.dll

O9 - Extra 'Tools' menuitem: Protection Internet Explorer... - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Program Files\Internet Explorer\Anti-Spyware\ieshield.dll

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll

O9 - Extra button: Messager Wanadoo - {FB5F1910-F110-11d2-BB9E-00C04F795683} - "C:\PROGRA~1\Livecom\APPLIC~1\CommunicationAgent\Messager.exe" (file missing)

O9 - Extra 'Tools' menuitem: Messager Wanadoo - {FB5F1910-F110-11d2-BB9E-00C04F795683} - "C:\PROGRA~1\Livecom\APPLIC~1\CommunicationAgent\Messager.exe" (file missing)

O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\fr.htm

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {011F473E-0880-43D4-99F3-F490A84128AE} (GenimoWebGames Control) - http://jeuxenligne.orange.fr/orange2.0/gam...amesControl.cab

O16 - DPF: {01347765-1965-426B-91A4-AA6BB342B9A3} (InstallerObj Class) - http://www.1-click.com/common/files/instal...hidden-test.cab

O16 - DPF: {09C21411-B9A2-4DE6-8416-4E3B58577BE0} (France Telecom MDM ActiveX Control) - http://minitelweb.minitel.com/imin_data/ocx/MDM.cab

O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/funwe...tup1.0.0.15.cab

O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineS...er.cab31267.cab

O16 - DPF: {3DA5D23B-EFE1-4181-ADB7-7D457567AACA} (TGOnlineCtrl Class) - http://www.msnjeux.com/online2/MSN_INTL_FR...pandaonline.cab

O16 - DPF: {49E67060-2C0D-415E-94C7-52A49F73B2F1} (CPlayFirstPiratePoppersControl Object) - http://www.msnjeux.com/online2/MSN_INTL_FR...rs.1.0.0.32.cab

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdat...b?1128369038015

O16 - DPF: {7CCAD6DD-DD0B-440B-91FF-7670F5AADC21} (SpinTop Games Launcher) - http://www.msnjeux.com/online2/MSN_INTL_FR...mesLauncher.cab

O16 - DPF: {7E980B9B-8AE5-466A-B6D6-DA8CF814E78A} (MJLauncherCtrl Class) - http://msnfr.oberon-media.com/online2/MSN_...mjolauncher.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {B2B0AEDF-7CDF-4792-BB67-7654AD1E1B13} - http://scripts.downloadv3.com/binaries/IA/...svc32_FR_XP.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse...pDownloader.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (MSN Games - Installer) - http://messenger.zone.msn.com/binary/ZIntro.cab56649.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab56907.cab

O16 - DPF: {D0C0F75C-683A-4390-A791-1ACFD5599AB8} (Oberon Flash Game Host) - http://jeuxenligne.orange.fr/Gameshell/Gam...ronGameHost.cab

O16 - DPF: {D54160C3-DB7B-4534-9B65-190EE4A9C7F7} (SproutLauncherCtrl Class) - http://www.msnjeux.com/online2/MSN_INTL_FR...outLauncher.cab

O16 - DPF: {D77EF652-9A6B-40C8-A4B9-1C0697C6CF41} (TikGames Online Control) - http://www.msnjeux.com/online2/MSN_INTL_FR...shapo/shapo.cab

O16 - DPF: {DC75FEF6-165D-4D25-A518-C8C4BDA7BAA6} (CPlayFirstDinerDashControl Object) - http://msnfr.oberon-media.com/online2/MSN_...sh.1.0.0.80.cab

O16 - DPF: {DECEAAA2-370A-49BB-9362-68C3A58DDC62} - http://static.zangocash.com/cab/Seekmo/ie/...ece5b5b666353a7

O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://jeuxenligne.orange.fr/gameshell/onl...ploader_v10.cab

O16 - DPF: {E1342154-4889-42B5-BEF6-19237577048F} (OberongamesLoader Object) - http://msnfr.oberon-media.com/online2/MSN_...gamesloader.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/Solit...wn.cab31267.cab

O23 - Service: Avira AntiVir Personal – Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Antivirus Firewall (BackWeb Plug-in - 7431218) - Securitoo Portal - C:\PROGRA~1\INTERN~1\backweb\7431218\Program\SERVIC~1.EXE

O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corporation - C:\Program Files\Internet Explorer\Anti-Virus\fsgk32st.exe

O23 - Service: FSBWSYS - F-Secure Corp. - C:\Program Files\Internet Explorer\backweb\7431218\program\fsbwsys.exe

O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program Files\Internet Explorer\FWES\Program\fsdfwd.exe

O23 - Service: FSMA - F-Secure Corporation - C:\Program Files\Internet Explorer\Common\FSMA32.EXE

O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Program Files\WinPcap\rpcapd.exe

O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

O23 - Service: UPSMONService - Unknown owner - C:\Program Files\UPSMON\UPSMON_Service.Exe

O23 - Service: WAN Miniport (ATW) Service (WANMiniportService) - America Online, Inc. - C:\WINDOWS\wanmpsvc.exe

--

End of file - 15291 bytes

Merci d'avance

Apollo · le 31 juillet 2008

Bonsoir et bienvenue sur les forums de Zébulon.

Le pc est très infecté, aussi je te demande de procéder dans l'ordre que je donne ci-après stp.

1)

Fais un clic droit sur ce lien : Navilog1 par IL-MAFIOSO .

Enregistre la cible (du lien) sous... et enregistre-le sur ton bureau.

Ensuite double clique sur navilog1.exe pour lancer l'installation.
Certains antivirus réagissent à Navilog1, désactiver provisoirement l'antivirus en cas de problème.
Une fois l'installation terminée, le fix s'exécutera automatiquement.
(Si ce n'est pas le cas, double-clique sur le raccourci Navilog1 présent sur le bureau).
Laisse-toi guider. Au menu principal, choisis 1 et valide.
Patiente jusqu'au message : *** Analyse Termine le ..... ***
Appuie sur une touche comme demandé, le bloc-notes va s'ouvrir.
Copie-colle l'intégralité dans ta prochaine réponse. Referme le bloc-notes.

Le rapport est en outre sauvegardé à la racine du disque (fixnavi.txt)

Ne passe aucune autre option avant qu'on ne te le dise.

2) Télécharge Toolbar-S&D (Team IDN) sur ton Bureau.

Lance l'installation du programme en exécutant le fichier téléchargé.
Double-clique sur le raccourci de Toolbar-S&D.
Sélectionne la langue souhaitée en tapant la lettre de ton choix puis en validant avec la touche Entrée.
Choisis maintenant l'option 1 (Recherche). Patiente jusqu'à la fin de la recherche.
Poste le rapport généré. (C:\TB.txt)

3) Télécharge SmitfraudFix sur ton bureau.

Double-clique sur smitfraudfix.cmd
Sélectionne 1 pour créer un rapport des fichiers responsables de l'infection.
Poste le rapport sur le forum dans ta prochaine réponse.
Process.exe est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. Note : votre antivirus peut détecter le virus TR/Hardoff.A dans l'archive, il s'agit là d'un faux-positif.

Fais déjà ça et poste-moi les 3 rapports.

@ plus tard.

Cassidy · le 1 août 2008

Donc voila le rapport Navilog :

Search Navipromo version 3.6.1 commencé le 31/07/2008 à

17:47:52,70

!!! Attention,ce rapport peut indiquer des fichiers/programmes

légitimes!!!

!!! Postez ce rapport sur le forum pour le faire analyser !!!

!!! Ne lancez pas la partie désinfection sans l'avis d'un

spécialiste !!!

Outil exécuté depuis C:\Program Files\navilog1

Session actuelle : "Th£ WoRlD oF CasSidy"

Mise à jour le 19.07.2008 à 20h00 par IL-MAFIOSO

Microsoft Windows XP [version 5.1.2600]

Internet Explorer : 6.0.2900.2180

Système de fichiers : NTFS

Recherche executé en mode normal

*** Recherche Programmes installés ***

*** Recherche dossiers dans "C:\WINDOWS" ***

*** Recherche dossiers dans "C:\Program Files" ***

*** Recherche dossiers dans "C:\Documents and Settings\All

Users\menudm~1\progra~1" ***

*** Recherche dossiers dans "C:\Documents and Settings\All

Users\menudm~1" ***

*** Recherche dossiers dans "c:\docume~1\alluse~1\applic~1"

***

*** Recherche dossiers dans "C:\Documents and Settings\Th£

WoRlD oF CasSidy\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\APPLIC~1

\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\CATHY\applic~1"

***

*** Recherche dossiers dans "C:\DOCUME~1

\CHALDER\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\INVIT~1

\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\PROPRI~1

\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\THWORL~2

\applic~1" ***

*** Recherche dossiers dans "C:\Documents and Settings\Th£

WoRlD oF CasSidy\locals~1\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\CATHY\locals~1

\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1

\CHALDER\locals~1\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\INVIT~1

\locals~1\applic~1" ***

*** Recherche dossiers dans "C:\Documents and Settings\Th£

WoRlD oF CasSidy\menudm~1\progra~1" ***

*** Recherche dossiers dans "C:\DOCUME~1

\CATHY\menudm~1\progra~1" ***

*** Recherche dossiers dans "C:\DOCUME~1

\CHALDER\menudm~1\progra~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\INVIT~1

\menudm~1\progra~1" ***

*** Recherche avec Catchme-rootkit/stealth malware detector

par gmer ***

pour + d'infos : http://www.gmer.net

Fichier(s) caché(s) :

C:\WINDOWS\system32\gmyaqoq.dat

C:\WINDOWS\system32\gmyaqoq.exe

C:\WINDOWS\system32\gmyaqoq_nav.dat

C:\WINDOWS\system32\gmyaqoq_navps.dat

*** Recherche avec GenericNaviSearch ***

!!! Tous ces résultats peuvent révéler des fichiers légitimes !!!

!!! A vérifier impérativement avant toute suppression manuelle !!!

* Recherche dans "C:\WINDOWS\system32" *

Fichiers trouvés :

amwauok.exe trouvé !

amwauok.dat trouvé !

amwauok_nav.dat trouvé !

amwauok_navps.dat trouvé !

ksqmk.exe trouvé !

ksqmk.dat trouvé !

ksqmk_navup.dat trouvé !

meuem.exe trouvé !

meuem.dat trouvé !

meuem_nav.dat trouvé !

meuem_navps.dat trouvé !

msquowq.exe trouvé !

msquowq.dat trouvé !

msquowq_nav.dat trouvé !

msquowq_navps.dat trouvé !

umgse.exe trouvé !

umgse.dat trouvé !

umgse_nav.dat trouvé !

umgse_navps.dat trouvé !

wewseiusq.exe trouvé !

wewseiusq.dat trouvé !

wewseiusq_nav.dat trouvé !

wewseiusq_navps.dat trouvé !

Fichiers suspects :

sgosu.exe trouvé !

sgosu.dat trouvé !

sgosu_nav.dat trouvé !

sgosu_navps.dat trouvé !

ukqsk.exe trouvé !

ukqsk.dat trouvé !

ukqsk_nav.dat trouvé !

ukqsk_navps.dat trouvé !

womewos.exe trouvé !

womewos.dat trouvé !

womewos_nav.dat trouvé !

womewos_navps.dat trouvé !

* Recherche dans "C:\Documents and Settings\Th£ WoRlD oF

CasSidy\locals~1\applic~1" *

* Recherche dans "C:\DOCUME~1\CATHY\locals~1\applic~1" *

* Recherche dans "C:\DOCUME~1\CHALDER\locals~1

\applic~1" *

* Recherche dans "C:\DOCUME~1\INVIT~1\locals~1\applic~1"

*

*** Recherche fichiers ***

C:\WINDOWS\iaccess32.exe trouvé !

C:\WINDOWS\system32\msegcompid.dll trouvé !

*** Recherche clés spécifiques dans le Registre ***

HKEY_CURRENT_USER\Software\Lanconfig trouvé !

*** Module de Recherche complémentaire ***

(Recherche fichiers spécifiques)

1)Recherche nouveaux fichiers Instant Access :

2)Recherche Heuristique :

* Dans "C:\WINDOWS\system32" :

amwauok.dat trouvé !

amwauok_nav.dat trouvé !

amwauok_navps.dat trouvé !

btgljxunp.exe trouvé !

ckocm.dat trouvé !

ckocm_navup.dat trouvé !

gmyaqoq.dat trouvé !

gmyaqoq_nav.dat trouvé !

gmyaqoq_navps.dat trouvé !

gsgua.dat trouvé !

gsgua_navup.dat trouvé !

ieokceqyxt.dat trouvé !

ieokceqyxt_nav.dat trouvé !

ieokceqyxt_navps.dat trouvé !

jmuknlv.exe trouvé !

ksqmk.dat trouvé !

ksqmk_navup.dat trouvé !

meuem.dat trouvé !

meuem_nav.dat trouvé !

meuem_navps.dat trouvé !

msquowq.dat trouvé !

msquowq_nav.dat trouvé !

msquowq_navps.dat trouvé !

procia.exe trouvé !

riiurok.dat trouvé !

riiurok_navup.dat trouvé !

sgosu.dat trouvé !

sgosu_nav.dat trouvé !

sgosu_navps.dat trouvé !

tmoxykvc_navtmp.dat trouvé !

ukqsk.dat trouvé !

ukqsk_nav.dat trouvé !

ukqsk_navps.dat trouvé !

umgse_nav.dat trouvé !

umgse_navps.dat trouvé !

wewseiusq.dat trouvé !

wewseiusq_nav.dat trouvé !

wewseiusq_navps.dat trouvé !

womewos.dat trouvé !

womewos_nav.dat trouvé !

womewos_navps.dat trouvé !

* Dans "C:\Documents and Settings\Th£ WoRlD oF

CasSidy\locals~1\applic~1" :

* Dans "C:\DOCUME~1\CATHY\locals~1\applic~1" :

* Dans "C:\DOCUME~1\CHALDER\locals~1\applic~1" :

* Dans "C:\DOCUME~1\INVIT~1\locals~1\applic~1" :

3)Recherche Certificats :

Certificat Egroup trouvé !

Certificat Electronic-Group trouvé !

Certificat OOO-Favorit trouvé !

Certificat Sunny-Day-Design-Ltd absent !

4)Recherche fichiers connus :

*** Analyse terminée le 31/07/2008 à 19:16:41,62 ***

Voici le 2ème rapport Toolbar S&D

-----------\\ ToolBar S&D 1.0.7 XP/Vista

[ Windows XP (NT 5.1) Build 2600, Service Pack 2 ]

[ USER : Thœ WoRlD oF CasSidy ] [ "C:\Toolbar SD" ] [

Selection : 1 ]

[ 31/07/2008 | 19:49:37,60 ] [ PC : LUTIN ]

[ MAJ : 25-07-2008 | 17:35 ]

-----------\\ Recherche de Fichiers / Dossiers ...

C:\Program Files\GamesBar

C:\Program Files\GamesBar\Localization-French.ini

C:\Program Files\Hotbar

C:\Program Files\Seekmo Programs

C:\Program Files\Seekmo Programs\Seekmo Toolbar

C:\DOCUME~1\CATHY\APPLIC~1\ShopperReports

C:\DOCUME~1\CATHY\APPLIC~1\ShopperReports\cs

C:\DOCUME~1\CATHY\APPLIC~1

\ShopperReports\shprrprt.log

C:\DOCUME~1\CHALDER\APPLIC~1\ShopperReports

C:\DOCUME~1\CHALDER\APPLIC~1\ShopperReports\cs

C:\DOCUME~1\CHALDER\APPLIC~1

\ShopperReports\shprrprt.log

C:\DOCUME~1\CHALDER\APPLIC~1

\ShopperReports\shprrprt_1149902614.log

C:\DOCUME~1\INVIT~1\APPLIC~1\ShopperReports

C:\DOCUME~1\INVIT~1\APPLIC~1\ShopperReports\cs

C:\DOCUME~1\INVIT~1\APPLIC~1

\ShopperReports\shprrprt.log

C:\DOCUME~1\LOCALS~1\APPLIC~1\ShopperReports

C:\DOCUME~1\LOCALS~1\APPLIC~1\ShopperReports\cs

C:\DOCUME~1\LOCALS~1\APPLIC~1

\ShopperReports\shprrprt.log

C:\DOCUME~1\THWORL~1\LOCALS~1\Temp\ICD1.tmp

-----------\\ [..\Internet Explorer\Main]

[HKEY_CURRENT_USER\Software\Microsoft\Internet

Explorer\Main]

"Local Page"="C:\\WINDOWS\\system32\\blank.htm"

"Start Page"="http://www.google.fr/"

"Search Page"="http://www.microsoft.com/isapi/redir.dll?'>http://www.microsoft.com/isapi/redir.dll?

prd=ie&ar=iesearch"

"Search Bar"="http://www.google.com/ie"'>http://www.google.com/ie"

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet

Explorer\Main]

"Default_Search_URL"="http://www.google.com/ie"

"Search Page"="http://www.microsoft.com/isapi/redir.dll?

prd=ie&ar=iesearch"

"Start Page"="http://www.microsoft.com/isapi/redir.dll?prd=

{SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}

&ar=home"

-----------\\ Fin du rapport a 20:00:41,48

Et enfin le rapport de Smithfraufix

SmitFraudFix v2.333

Rapport fait à 11:34:32,46, 01/08/2008

Executé à partir de C:\Documents and Settings\Thœ WoRlD oF CasSidy\Bureau\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT

Le type du système de fichiers est NTFS

Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\INTERN~1\backweb\7431218\Program\SERVIC~1.EXE

C:\WINDOWS\System32\cisvc.exe

C:\Program Files\Internet Explorer\Anti-Virus\fsgk32st.exe

C:\Program Files\Internet Explorer\Anti-Virus\FSGK32.EXE

C:\Program Files\Internet Explorer\backweb\7431218\program\fsbwsys.exe

C:\Program Files\Internet Explorer\Common\FSMA32.EXE

C:\Program Files\Internet Explorer\Anti-Virus\fssm32.exe

C:\WINDOWS\System32\FTRTSVC.exe

C:\Program Files\Internet Explorer\Common\FSMB32.EXE

C:\WINDOWS\system32\slserv.exe

C:\WINDOWS\System32\snmp.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Internet Explorer\Common\FCH32.EXE

C:\WINDOWS\wanmpsvc.exe

C:\Program Files\Internet Explorer\Common\FAMEH32.EXE

C:\Program Files\Internet Explorer\Anti-Virus\fsqh.exe

C:\Program Files\Internet Explorer\Anti-Virus\fsrw.exe

C:\Program Files\Internet Explorer\FWES\Program\fsdfwd.exe

C:\Program Files\Internet Explorer\Anti-Virus\fsav32.exe

C:\WINDOWS\system32\cidaemon.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\Internet Explorer\Common\FSM32.EXE

C:\PROGRA~1\INTERN~1\ANTI-S~1\fsaw.exe

C:\Program Files\Internet Explorer\FSGUI\fsguidll.exe

C:\Program Files\Creative\Shared Files\CAMTRAY.EXE

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe

C:\Program Files\Internet Explorer\FSGUI\ispnews.exe

C:\windows\system32\gmyaqoq.exe

C:\PROGRA~1\Wanadoo\TaskBarIcon.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe

C:\PROGRA~1\Wanadoo\GestionnaireInternet.exe

C:\PROGRA~1\Wanadoo\ComComp.exe

C:\PROGRA~1\Wanadoo\Toaster.exe

C:\WINDOWS\System32\ALERTM~1\ALERTM~1.EXE

C:\PROGRA~1\Wanadoo\Inactivity.exe

C:\PROGRA~1\Wanadoo\PollingModule.exe

C:\PROGRA~1\Wanadoo\Watch.exe

C:\Program Files\Windows Live\Messenger\msnmsgr.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\Windows Live\Messenger\usnsvc.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avscan.exe

C:\Documents and Settings\Th£ WoRlD oF CasSidy\Bureau\HiJackThis.exe

C:\WINDOWS\system32\NOTEPAD.EXE

C:\WINDOWS\notepad.exe

C:\WINDOWS\system32\cmd.exe

C:\WINDOWS\system32\NOTEPAD.EXE

C:\Program Files\Internet Explorer\backweb\7431218\Program\fspex.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts

»»»»»»»»»»»»»»»»»»»»»»»» C:\

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Thœ WoRlD oF CasSidy

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Thœ WoRlD oF CasSidy\Application Data

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\THWORL~1\Favoris

»»»»»»»»»»»»»»»»»»»»»»»» Bureau

»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]

"Source"="About:Home"

"SubscribedURL"="About:Home"

"FriendlyName"="Ma page d'accueil"

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

VACFix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» 404Fix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

404Fix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]

"AppInit_DLLs"=""

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"

"System"=""

»»»»»»»»»»»»»»»»»»»»»»»» Rustock

»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: VIA Rhine II Fast Ethernet Adapter

DNS Server Search Order: 192.168.1.1

DNS Server Search Order: 0.0.0.0

HKLM\SYSTEM\CCS\Services\Tcpip\..\{A8AC4767-E167-4F29-986B-8EC59B4E7574}: DhcpNameServer=192.168.1.1 0.0.0.0

HKLM\SYSTEM\CS1\Services\Tcpip\..\{A8AC4767-E167-4F29-986B-8EC59B4E7574}: DhcpNameServer=192.168.1.1 0.0.0.0

HKLM\SYSTEM\CS2\Services\Tcpip\..\{A8AC4767-E167-4F29-986B-8EC59B4E7574}: DhcpNameServer=192.168.1.1 0.0.0.0

HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 0.0.0.0

HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 0.0.0.0

HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 0.0.0.0

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin

Merci

Apollo · le 1 août 2008

Bonjour,

1) Double-clique sur le raccourci Navilog1 présent sur le bureau

Laisse-toi guider. Au menu principal, choisis 2 et valide.
Patiente jusqu'au message : *** Analyse Termine le ..... ***
Appuie sur une touche comme demandé, le bloc-notes va s'ouvrir.
Copie-colle l'intégralité dans ta prochaine réponse. Referme le bloc-notes.
Le rapport est en outre sauvegardé à la racine du disque (fixnavi.txt)

NB: Si ton bureau ne réapparaît pas, fais CTRL+ALT+SUPP pour ouvrir le gestionnaire de tâches.

Puis rends-toi à l'onglet "processus". Clique en haut à gauche sur fichiers et choisis "exécuter"

Tape explorer et valide. Cela fera apparaître ton bureau.

2) Relance Toolbar-S&D en double-cliquant sur le raccourci. Tape sur "2" puis valide en appuyant sur "Entrée".

Ne ferme pas la fenêtre lors de la suppression !

Un rapport sera généré, poste son contenu dans ta réponse.

NB: Si ton Bureau ne réapparaissait pas, appuie simultanément sur Ctrl+Alt+Suppr pour ouvrir le Gestionnaire des tâches.

Rends-toi sur l'onglet "Processus". Clique en haut à gauche sur Fichier et choisis "Exécuter..."

Tape explorer puis valide.

3)

Redémarrer l'ordinateur en mode sans échec (tapoter F8 au boot pour obtenir le menu de démarrage

ou tuto Symantec).

Double-clique sur smitfraudfix.cmd

Sélectionne 2 pour supprimer les fichiers responsables de l'infection.
A la question Voulez-vous nettoyer le registre ? réponds O (oui) afin de débloquer le fond d'écran et supprimer les clés de démarrage automatique de l'infection.
Le fix déterminera si le fichier wininet.dll est infecté.
A la question Corriger le fichier infecté ? réponds O (oui) pour remplacer le fichier corrompu.
Redémarre en mode normal et poste le rapport sur le forum.
N.B.: Cette étape élimine les fichiers infectieux détectés à l'étape #1
Attention : l'option 2 de l'outil supprime le fond d'écran !

process.exe est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky...) comme étant un RiskTool.

Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.

Note : votre antivirus peut détecter le virus TR/Hardoff.A dans l'archive, il s'agit là dun faux-positif.

Après le redémarrage poste ces trois rapports ainsi qu'un nouveau log Hijackthis fait en mode normal.

@++

Cassidy · le 1 août 2008

Quand j'ai double cliqué et suivi les informations ( taper 2 etc. ), on m'informe que l'outil va être fermé et que je dois appuyer sur une touche pour continuer.Donc je le fais et l'outil se ferme ( logique ) mais n'apparait plus.Est ce que je dois attendre ou y'a t-il un souci?

Modifié le 1 août 2008 par Cassidy

Apollo · le 1 août 2008

Lequel d'outil? SmitfraudFix?

Regarde sous C\ et prends le dernier rapport (en heure); poste-le.

Pour les autres rapports, c'est indiqué dans la procédure; poste-les également stp.

@+

Cassidy · le 1 août 2008

C'est Navilog.

Ok pas de souci

Apollo · le 1 août 2008

Puis-je avoir les rapports stp?

Cassidy · le 1 août 2008

Biensur Les voici

Le ToolBar S&D

-----------\\ ToolBar S&D 1.0.7 XP/Vista

[ Windows XP (NT 5.1) Build 2600, Service Pack 2 ]

[ USER : Thœ WoRlD oF CasSidy ] [ "C:\Toolbar SD" ] [ Selection : 2 ]

[ 01/08/2008 | 17:00:02,42 ] [ PC : LUTIN ]

[ MAJ : 25-07-2008 | 17:35 ]

-----------\\ SUPPRESSION

Supprime! - C:\Program Files\GamesBar\Localization-French.ini

Supprime! - C:\Program Files\Seekmo Programs\Seekmo Toolbar

Supprime! - C:\DOCUME~1\CATHY\APPLIC~1\ShopperReports\cs

Supprime! - C:\DOCUME~1\CATHY\APPLIC~1\ShopperReports\shprrprt.log

Supprime! - C:\DOCUME~1\CHALDER\APPLIC~1\ShopperReports\cs

Supprime! - C:\DOCUME~1\CHALDER\APPLIC~1\ShopperReports\shprrprt.log

Supprime! - C:\DOCUME~1\CHALDER\APPLIC~1\ShopperReports\shprrprt_1149902614.log

Supprime! - C:\DOCUME~1\INVIT~1\APPLIC~1\ShopperReports\cs

Supprime! - C:\DOCUME~1\INVIT~1\APPLIC~1\ShopperReports\shprrprt.log

Supprime! - C:\DOCUME~1\LOCALS~1\APPLIC~1\ShopperReports\cs

Supprime! - C:\DOCUME~1\LOCALS~1\APPLIC~1\ShopperReports\shprrprt.log

Supprime! - C:\DOCUME~1\THWORL~1\LOCALS~1\Temp\ICD1.tmp

Supprime! - C:\Program Files\GamesBar

Supprime! - C:\Program Files\Hotbar

Supprime! - C:\Program Files\Seekmo Programs

Supprime! - C:\DOCUME~1\CATHY\APPLIC~1\ShopperReports

Supprime! - C:\DOCUME~1\CHALDER\APPLIC~1\ShopperReports

Supprime! - C:\DOCUME~1\INVIT~1\APPLIC~1\ShopperReports

Supprime! - C:\DOCUME~1\LOCALS~1\APPLIC~1\ShopperReports

-----------\\ Recherche de Fichiers / Dossiers ...

-----------\\ [..\Internet Explorer\Main]

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]

"Local Page"="C:\\WINDOWS\\system32\\blank.htm"

"Start Page"="http://www.google.fr/"

"Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"'>http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"

"Search Bar"="http://www.google.com/ie"'>http://www.google.com/ie"

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]

"Default_Search_URL"="http://www.google.com/ie"

"Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"

"Start Page"="http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home"

-----------\\ Fin du rapport a 17:07:28,12

Le SmitFraudFix

SmitFraudFix v2.333

Rapport fait à 17:19:43,37, 01/08/2008

Executé à partir de C:\Documents and Settings\Thœ WoRlD oF CasSidy\Bureau\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT

Le type du système de fichiers est NTFS

Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Avant SmitFraudFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus

»»»»»»»»»»»»»»»»»»»»»»»» hosts

127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

VACFix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

S!Ri's WS2Fix: LSP not Found.

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

»»»»»»»»»»»»»»»»»»»»»»»» 404Fix

404Fix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: VIA Rhine II Fast Ethernet Adapter

DNS Server Search Order: 192.168.1.1

DNS Server Search Order: 0.0.0.0

HKLM\SYSTEM\CCS\Services\Tcpip\..\{A8AC4767-E167-4F29-986B-8EC59B4E7574}: DhcpNameServer=192.168.1.1 0.0.0.0

HKLM\SYSTEM\CS1\Services\Tcpip\..\{A8AC4767-E167-4F29-986B-8EC59B4E7574}: DhcpNameServer=192.168.1.1 0.0.0.0

HKLM\SYSTEM\CS2\Services\Tcpip\..\{A8AC4767-E167-4F29-986B-8EC59B4E7574}: DhcpNameServer=192.168.1.1 0.0.0.0

HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 0.0.0.0

HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 0.0.0.0

HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 0.0.0.0

»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"System"=""

»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre

Nettoyage terminé.

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Après SmitFraudFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin

Le dernier rapport Navilog en date

Search Navipromo version 3.6.1 commencé le 31/07/2008 à 17:47:52,70

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!

!!! Postez ce rapport sur le forum pour le faire analyser !!!

!!! Ne lancez pas la partie désinfection sans l'avis d'un spécialiste !!!

Outil exécuté depuis C:\Program Files\navilog1

Session actuelle : "Th£ WoRlD oF CasSidy"

Mise à jour le 19.07.2008 à 20h00 par IL-MAFIOSO

Microsoft Windows XP [version 5.1.2600]

Internet Explorer : 6.0.2900.2180

Système de fichiers : NTFS

Recherche executé en mode normal

*** Recherche Programmes installés ***

*** Recherche dossiers dans "C:\WINDOWS" ***

*** Recherche dossiers dans "C:\Program Files" ***

*** Recherche dossiers dans "C:\Documents and Settings\All Users\menudm~1\progra~1" ***

*** Recherche dossiers dans "C:\Documents and Settings\All Users\menudm~1" ***

*** Recherche dossiers dans "c:\docume~1\alluse~1\applic~1" ***

*** Recherche dossiers dans "C:\Documents and Settings\Th£ WoRlD oF CasSidy\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\APPLIC~1\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\CATHY\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\CHALDER\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\INVIT~1\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\PROPRI~1\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\THWORL~2\applic~1" ***

*** Recherche dossiers dans "C:\Documents and Settings\Th£ WoRlD oF CasSidy\locals~1\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\CATHY\locals~1\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\CHALDER\locals~1\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\INVIT~1\locals~1\applic~1" ***

*** Recherche dossiers dans "C:\Documents and Settings\Th£ WoRlD oF CasSidy\menudm~1\progra~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\CATHY\menudm~1\progra~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\CHALDER\menudm~1\progra~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\INVIT~1\menudm~1\progra~1" ***

*** Recherche avec Catchme-rootkit/stealth malware detector par gmer ***

pour + d'infos : http://www.gmer.net

Fichier(s) caché(s) :

C:\WINDOWS\system32\gmyaqoq.dat

C:\WINDOWS\system32\gmyaqoq.exe

C:\WINDOWS\system32\gmyaqoq_nav.dat

C:\WINDOWS\system32\gmyaqoq_navps.dat

*** Recherche avec GenericNaviSearch ***

!!! Tous ces résultats peuvent révéler des fichiers légitimes !!!

!!! A vérifier impérativement avant toute suppression manuelle !!!

* Recherche dans "C:\WINDOWS\system32" *

Fichiers trouvés :

amwauok.exe trouvé !

amwauok.dat trouvé !

amwauok_nav.dat trouvé !

amwauok_navps.dat trouvé !

ksqmk.exe trouvé !

ksqmk.dat trouvé !

ksqmk_navup.dat trouvé !

meuem.exe trouvé !

meuem.dat trouvé !

meuem_nav.dat trouvé !

meuem_navps.dat trouvé !

msquowq.exe trouvé !

msquowq.dat trouvé !

msquowq_nav.dat trouvé !

msquowq_navps.dat trouvé !

umgse.exe trouvé !

umgse.dat trouvé !

umgse_nav.dat trouvé !

umgse_navps.dat trouvé !

wewseiusq.exe trouvé !

wewseiusq.dat trouvé !

wewseiusq_nav.dat trouvé !

wewseiusq_navps.dat trouvé !

Fichiers suspects :

sgosu.exe trouvé !

sgosu.dat trouvé !

sgosu_nav.dat trouvé !

sgosu_navps.dat trouvé !

ukqsk.exe trouvé !

ukqsk.dat trouvé !

ukqsk_nav.dat trouvé !

ukqsk_navps.dat trouvé !

womewos.exe trouvé !

womewos.dat trouvé !

womewos_nav.dat trouvé !

womewos_navps.dat trouvé !

* Recherche dans "C:\Documents and Settings\Th£ WoRlD oF CasSidy\locals~1\applic~1" *

* Recherche dans "C:\DOCUME~1\CATHY\locals~1\applic~1" *

* Recherche dans "C:\DOCUME~1\CHALDER\locals~1\applic~1" *

* Recherche dans "C:\DOCUME~1\INVIT~1\locals~1\applic~1" *

*** Recherche fichiers ***

C:\WINDOWS\iaccess32.exe trouvé !

C:\WINDOWS\system32\msegcompid.dll trouvé !

*** Recherche clés spécifiques dans le Registre ***

HKEY_CURRENT_USER\Software\Lanconfig trouvé !

*** Module de Recherche complémentaire ***

(Recherche fichiers spécifiques)

1)Recherche nouveaux fichiers Instant Access :

2)Recherche Heuristique :

* Dans "C:\WINDOWS\system32" :

amwauok.dat trouvé !

amwauok_nav.dat trouvé !

amwauok_navps.dat trouvé !

btgljxunp.exe trouvé !

ckocm.dat trouvé !

ckocm_navup.dat trouvé !

gmyaqoq.dat trouvé !

gmyaqoq_nav.dat trouvé !

gmyaqoq_navps.dat trouvé !

gsgua.dat trouvé !

gsgua_navup.dat trouvé !

ieokceqyxt.dat trouvé !

ieokceqyxt_nav.dat trouvé !

ieokceqyxt_navps.dat trouvé !

jmuknlv.exe trouvé !

ksqmk.dat trouvé !

ksqmk_navup.dat trouvé !

meuem.dat trouvé !

meuem_nav.dat trouvé !

meuem_navps.dat trouvé !

msquowq.dat trouvé !

msquowq_nav.dat trouvé !

msquowq_navps.dat trouvé !

procia.exe trouvé !

riiurok.dat trouvé !

riiurok_navup.dat trouvé !

sgosu.dat trouvé !

sgosu_nav.dat trouvé !

sgosu_navps.dat trouvé !

tmoxykvc_navtmp.dat trouvé !

ukqsk.dat trouvé !

ukqsk_nav.dat trouvé !

ukqsk_navps.dat trouvé !

umgse_nav.dat trouvé !

umgse_navps.dat trouvé !

wewseiusq.dat trouvé !

wewseiusq_nav.dat trouvé !

wewseiusq_navps.dat trouvé !

womewos.dat trouvé !

womewos_nav.dat trouvé !

womewos_navps.dat trouvé !

* Dans "C:\Documents and Settings\Th£ WoRlD oF CasSidy\locals~1\applic~1" :

* Dans "C:\DOCUME~1\CATHY\locals~1\applic~1" :

* Dans "C:\DOCUME~1\CHALDER\locals~1\applic~1" :

* Dans "C:\DOCUME~1\INVIT~1\locals~1\applic~1" :

3)Recherche Certificats :

Certificat Egroup trouvé !

Certificat Electronic-Group trouvé !

Certificat OOO-Favorit trouvé !

Certificat Sunny-Day-Design-Ltd absent !

4)Recherche fichiers connus :

*** Analyse terminée le 31/07/2008 à 19:16:41,62 ***

Le rapport Hijackthis

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 17:36:53, on 01/08/2008