Demande d'aide, Trojan-Spy.Win32.Banker.byu

[tit-stjean]

Bonjour

 

voici qq jours que mon PC est devenu très lent pour une raison inexpliquée.

 

Mon antivirus Kaspersky 2009 a détecté le Trojan-Spy.Win32.Banker.byu.

 

D'autre part, j'ai une application "spy Burner" qui n'arrête pas de se lancer à vouloir faire des scans. Ci dessous le rapport qu'il m'affiche:

 

Trojan-PSW.Win32.OnLineGames.aoku is a Trojan horse that partially erases .wma files on the compromised computers.

Trojan-PSW.Win32.OnLineGames.aoks is a Trojan horse that partially erases .wma files on the compromised computers.

AdWare.Win32.Cinmus.jdw is a spyware programm that monitors user activity, logs keystrokes, and captures screenshots.

Trojan-PSW.Win32.OnLineGames.aokr is a Trojan horse that runs on the Symbian OS

AdWare.Win32.Virtumonde.ylw is a spyware programm that monitors user activity, logs keystrokes, and captures screenshots.

Backdoor.Win32.Raid.bs allow a hacker to remotely control an infected computer.

Trojan-PSW.Win32.Magania.ste is a Trojan horse that runs on the Symbian OS

Trojan-Downloader.Win32.VB.eyd is a Trojan horse that retrives a username and password list from the computer.

Trojan-Dropper.Win32.Agent.sor is a Trojan horse that runs on the Symbian OS

Email-Worm.Win32.VB.gd is a worm thath spreads by copying itself to network shares protected by weak passwords.

Trojan-Downloader.Win32.Agent.spi is a Trojan horse that retrives a username and password list from the computer.

AdWare.Win32.Cinmus.jdv is a spyware programm that monitors user activity, logs keystrokes, and captures screenshots.

AdWare.Win32.Agent.djr is a spyware programm that monitors user activity, logs keystrokes, and captures screenshots.

Trojan-PSW.Win32.LdPinch.vgf is a Trojan horse that runs on the Symbian OS

Backdoor.Win32.Agent.jzy allow a hacker to remotely control an infected computer.

Email-Worm.Win32.NetSky.dff is a worm that copies itself to shared and removable drivers.

Trojan-PSW.Win32.Magania.stf is a Trojan horse that runs on the Symbian OS

Backdoor.Win32.Hupigon.cikm allow a hacker to remotely control an infected computer.

Trojan-Downloader.Win32.Winlagons.pb is a Trojan horse that retrives a username and password list from the computer.

Trojan.Win32.SubSys.ed is a Trojan horse that retrives a username and password list from the computer.

Trojan-PSW.Win32.OnLineGames.aokt is a Trojan horse that partially erases .wma files on the compromised computers.

Trojan-Spy.Win32.VB.ajn is a Trojan horse that partially erases .wma files on the compromised computers.

Trojan.Win32.Obfuscated.bex is a Trojan horse that retrives a username and password list from the computer.

Trojan-PSW.Win32.OnLineGames.aokv is a Trojan horse that partially erases .wma files on the compromised computers.

Trojan-Downloader.Win32.Agent.spj is a Trojan horse that retrives a username and password list from the computer.

Backdoor.Win32.Hupigon.cikl allow a hacker to remotely control an infected computer.

Backdoor.Win32.Agent.jzz allow a hacker to remotely control an infected computer.

 

 

Après avoir lu plusieur post, j'ai compris que vous aviez d'un rapport Hijackthis que vous trouverez ci desous.

 

Logfile of HijackThis v1.99.1

Scan saved at 14:24:20, on 22/08/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16705)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe

C:\Program Files\Spyware Doctor\pctsAuxs.exe

C:\Program Files\Spyware Doctor\pctsSvc.exe

C:\WINDOWS\system32\slserv.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Java\jre1.5.0\bin\jusched.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\D-Link\AirPlus G\AirGCFG.exe

C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe

C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe

C:\Program Files\Spyware Doctor\pctsTray.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\Program Files\SpyBurnerSE\SpyBurnerSE.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe

C:\Program Files\OpenOffice.org 2.0\program\soffice.exe

C:\Program Files\OpenOffice.org 2.0\program\soffice.BIN

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe

C:\Program Files\MSN Messenger\usnsvc.exe

C:\Program Files\Spyware Doctor\pctsGui.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WLLoginProxy.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Program Files\QuickZip4\QuickZip.exe

C:\DOCUME~1\AMLIE~1\LOCALS~1\Temp\QZTEMP\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.fr/0SEFRFR/SAOS01?FORM=TOOLBR

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://g.msn.fr/0SEFRFR/SAOS01?FORM=TOOLBR

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://g.msn.fr/0SEFRFR/SAOS01?FORM=TOOLBR

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://go.microsoft.com/fwlink/?LinkId=74005

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\ievkbd.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll

O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)

O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0\bin\jusched.exe

O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [D-Link AirPlus G] C:\Program Files\D-Link\AirPlus G\AirGCFG.exe

O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe

O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe"

O4 - HKLM\..\Run: [iSTray] "C:\Program Files\Spyware Doctor\pctsTray.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [spyBurnerSE] "C:\Program Files\SpyBurnerSE\SpyBurnerSE.exe"

O4 - Startup: OpenOffice.org 2.0.lnk = C:\Program Files\OpenOffice.org 2.0\program\quickstart.exe

O4 - Global Startup: hp psc 1000 series.lnk = ?

O4 - Global Startup: hpoddt01.exe.lnk = ?

O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm

O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx

O8 - Extra context menu item: Ajouter à Kaspersky Anti-Banner - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\ie_banner_deny.htm

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll

O9 - Extra button: Statistiques de la protection du trafic Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\SCIEPlgn.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O11 - Options group: [iNTERNATIONAL] International*

O16 - DPF: {2A0B9B82-D5C8-4D3D-8338-AD55B23662B1} (F5 Networks CacheCleaner) - https://portal.latecoere.fr/vdesk/cacheclea...,2008,0514,2338

O16 - DPF: {45B69029-F3AB-4204-92DE-D5140C3E8E74} (F5 Networks Auto Update) - https://portal.latecoere.fr/vdesk/terminal/...,2008,0514,2345

O16 - DPF: {57C76689-F052-487B-A19F-855AFDDF28EE} (F5 Networks Policy Agent Host Class) - https://portal.latecoere.fr/vdesk/terminal/...,2008,0514,2340

O16 - DPF: {E615C9EA-AD69-4AE9-83C9-9D906A0ACA6D} (F5 Networks OS Policy Agent) - https://portal.latecoere.fr/policy/download...,2008,0514,2348

O16 - DPF: {FB90BA05-66E6-4C56-BCD3-D65B0F7EBA39} (Foto.com SpeedUploader 1.0 Control) - http://express.foto.com/SFUploader/SpeedUploader.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd.dll,C:\PROGRA~1\KASPER~1\KASPER~1\adialhk.dll,C:\PROGRA~1\KASPER~1\KASPER~1\kloehk.dll

O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll

O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Program Files\ANI\ANIWZCS2 Service\ANIWZCSdS.exe

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: Kaspersky Internet Security (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe" -r (file missing)

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\pctsAuxs.exe

O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\pctsSvc.exe

O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe

 

 

Je vous remercie pour votre aide qui me sera d'un très grand secours car je ne suis pas un spécialiste de l'informatique.

 

A+

[Le sioux]

Bonjour tit-stjean et bienvenue sur Zébulon

 

* Ta version d'HijackThis est obsolète, on en changera.

 

* La console Java et open office présents sur ton PC devraient être mis à jours, on s'occupera de cela par la suite, sinon, tu t'exposes à des failles de sécurité que peuvent exploiter les malwares.

 

*Ce "SpyBurnerSE" est un rogue, faux utilitaire de sécurité.

(sans doute de la famille de http://assiste.com.free.fr/p/craptheque/spyburn.html )

On va t'en débarrasser.

 

1) Télécharge OTMoveIt2 de Old_Timer

 

Télécharge OTMoveIt2 de Old_Timer sur ton Bureau. http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe

 

Double clique sur OTMoveIt.exe pour le lancer.

Copie la liste qui se trouve en citation ci-dessous,

et colle-la dans le cadre de gauche de OTMoveIt :

Paste standard List of Files/Folders to be moved.

 

C:\Program Files\SpyBurnerSE

HKCU\software\microsoft\windows\currentversion\run\\SpyBurnerSE

Clique sur MoveIt! pour lancer la suppression.

Le résultat apparaîtra dans le cadre Results.

Clique sur Exit pour fermer.

 

Il te sera peut-être demander de faire redémarrer le PC pour achever la suppression.

si c'est le cas accepte par Yes.

 

2) Rapports

 

Fais redémarrer ton PC puis poste en réponse :

 

* Le rapport d’OTMoveIt situé dans C:\_OTMoveIt\MovedFiles (contenu du fichier C:\_OTMoveIt\MovedFiles\********_******.log - les *** sont des chiffres représentant la date et l'heure)

* Un nouveau rapport HijackThis.

 

@ suivre

Modifié le 22 août 2008 par Le sioux

[tit-stjean]

Merci Sioux pour ton analyse et ton aide. J'ai réalisé les manip qe tu demandes. Ci dessous les rapports:

 

Le rapport d’OTMoveIt

 

C:\Program Files\SpyBurnerSE\Reports moved successfully.

C:\Program Files\SpyBurnerSE\presale\orig_files moved successfully.

C:\Program Files\SpyBurnerSE\presale moved successfully.

C:\Program Files\SpyBurnerSE\Languages moved successfully.

C:\Program Files\SpyBurnerSE moved successfully.

< HKCU\software\microsoft\windows\currentversion\run\\SpyBurnerSE >

Registry value HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run\\SpyBurnerSE deleted successfully.

 

OTMoveIt2 by OldTimer - Version 1.0.4.3 log created on 08252008_191643

 

le rapport d'HijackThis

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 19:40:19, on 25/08/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16705)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe

C:\Program Files\Spyware Doctor\pctsAuxs.exe

C:\Program Files\Spyware Doctor\pctsSvc.exe

C:\WINDOWS\system32\slserv.exe

C:\Program Files\Spyware Doctor\pctsTray.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Java\jre1.5.0\bin\jusched.exe

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\D-Link\AirPlus G\AirGCFG.exe

C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe

C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe

C:\Program Files\OpenOffice.org 2.0\program\soffice.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe

C:\Program Files\OpenOffice.org 2.0\program\soffice.BIN

C:\WINDOWS\System32\alg.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WLLoginProxy.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\MSN Messenger\usnsvc.exe

C:\Documents and Settings\Amélie\Bureau\HiJackThis.exe

C:\WINDOWS\system32\wbem\wmiprvse.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.fr/0SEFRFR/SAOS01?FORM=TOOLBR

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://g.msn.fr/0SEFRFR/SAOS01?FORM=TOOLBR

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://g.msn.fr/0SEFRFR/SAOS01?FORM=TOOLBR

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://go.microsoft.com/fwlink/?LinkId=74005

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\ievkbd.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll

O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)

O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0\bin\jusched.exe

O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [D-Link AirPlus G] C:\Program Files\D-Link\AirPlus G\AirGCFG.exe

O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe

O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe"

O4 - HKLM\..\Run: [iSTray] "C:\Program Files\Spyware Doctor\pctsTray.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Startup: OpenOffice.org 2.0.lnk = C:\Program Files\OpenOffice.org 2.0\program\quickstart.exe

O4 - Global Startup: hp psc 1000 series.lnk = ?

O4 - Global Startup: hpoddt01.exe.lnk = ?

O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm

O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx

O8 - Extra context menu item: Ajouter à Kaspersky Anti-Banner - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\ie_banner_deny.htm

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll

O9 - Extra button: Statistiques de la protection du trafic Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\SCIEPlgn.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {2A0B9B82-D5C8-4D3D-8338-AD55B23662B1} (F5 Networks CacheCleaner) - https://portal.latecoere.fr/vdesk/cacheclea...,2008,0514,2338

O16 - DPF: {45B69029-F3AB-4204-92DE-D5140C3E8E74} (F5 Networks Auto Update) - https://portal.latecoere.fr/vdesk/terminal/...,2008,0514,2345

O16 - DPF: {57C76689-F052-487B-A19F-855AFDDF28EE} (F5 Networks Policy Agent Host Class) - https://portal.latecoere.fr/vdesk/terminal/...,2008,0514,2340

O16 - DPF: {E615C9EA-AD69-4AE9-83C9-9D906A0ACA6D} (F5 Networks OS Policy Agent) - https://portal.latecoere.fr/policy/download...,2008,0514,2348

O16 - DPF: {FB90BA05-66E6-4C56-BCD3-D65B0F7EBA39} (Foto.com SpeedUploader 1.0 Control) - http://express.foto.com/SFUploader/SpeedUploader.cab

O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd.dll,C:\PROGRA~1\KASPER~1\KASPER~1\adialhk.dll,C:\PROGRA~1\KASPER~1\KASPER~1\kloehk.dll

O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Program Files\ANI\ANIWZCS2 Service\ANIWZCSdS.exe

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: Kaspersky Internet Security (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\pctsAuxs.exe

O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\pctsSvc.exe

O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe

 

--

End of file - 8937 bytes

 

 

Merci et à très bientôt

[Le sioux]

Bonsoir tit tjean

 

On continu

 

Afin de suivre la procédure correctement, je te conseille d'enregistrer la page en sélectionnant toutes les lignes puis de copier cette sélection dans un fichier texte sur ton PC pour pouvoir appliquer la procédure correctement.

Il faut exécuter toutes les étapes, sans interruption, dans l'ordre exact indiqué ci-dessous.

Si un élément te paraît obscure, demande des explications avant de commencer la désinfection.

 

1) Télécharge et installe

 

-- CCleaner

http://www.ccleaner.com/download/builds.aspx

Choisis de préférence la version SLIM-No Toolbar.

Installe-le en prenant soin de décocher les diverses options dont la barre Yahoo et la mise à jour.

Lance CCleaner puis Clique sur "Options", "Avancé" et décoche la case "Effacer uniquement les fichiers, du dossier Temp de Windows, plus vieux que 48 heures".

Pour les autres paramètres, laisse-le avec ses réglages par défaut.

 

-- Malwarebyte's Anti-Malware

http://www.malwarebytes.org/mbam/program/mbam-setup.exe

Tuto : http://forum.pcastuces.com/malwarebytes_an...oriel-f31s3.htm

A la fin de l'installation, veille à ce que l'option « Mettre a jour Malwarebyte's Anti-Malware » soit cochée. >>> clique sur OK.

S'il ne s'est pas lancé tout seul, double-clique sur l'icône de Malwarebyte's Anti-Malware sur ton Bureau.

Au premier lancement, une fenêtre t'annonce que la version est Free >>> clique sur OK

Laisse les Mises à jour se télécharger.

 

2) Scan avec Malwarebyte's Anti-Malware

 

(Relance Malwarebyte’s Anti-Malware si celui-ci s’est refermé )

Onglet "Recherche" >>> coche Exécuter un examen complet >>> Rechercher sélectionne tes disques durs puis clique sur Lancer l’examen.

A la fin du scan >>> clique sur Afficher les résultats

Suppression des éléments détectés >>>> clique sur Supprimer la sélection ou supprimer tout

S'il t'es demandé de redémarrer >>> clique sur "Yes"

--> Un rapport de scan s'ouvre, enregistre sur ton Bureau.

Puis ferme Malwarebyte's Anti-Malware

 

3) Suppression de fichiers inutiles avec CCleaner

 

Lance CCleaner en double-cliquant sur son raccourci sur ton Bureau.

Puis dans le menu Nettoyeur

Clique sur Analyse (laisse travailler cela peut durer longtemps la 1ere fois)

Clique sur le bouton Lancer le nettoyage.

Clique une seconde fois sur le bouton Lancer le nettoyage puis ferme CCleaner.

4) Rapports

 

Poste en réponse le rapport de Malwarebyte's Anti-Malware que tu as sauvegardé sur ton Bureau.

 

@ plus.

Modifié le 25 août 2008 par Le sioux

[tit-stjean]

Bonjour

j'ai qq difficultés à réaliser la procédure complètment car Malwarebytes plantait au milieu de l'analyse .

 

Enfin, bon, j'ai enfin réussi à tout faire. tu trouveras ci dessous le rapport de son analyse.

 

a+

 

 

Malwarebytes' Anti-Malware 1.25

Version de la base de données: 1089

Windows 5.1.2600 Service Pack 2

 

20:03:39 29/08/2008

mbam-log-08-29-2008 (20-03-39).txt

 

Type de recherche: Examen complet (C:\|)

Eléments examinés: 173418

Temps écoulé: 1 hour(s), 34 minute(s), 41 second(s)

 

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 0

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 1

Fichier(s) infecté(s): 4

 

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Clé(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Valeur(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Elément(s) de données du Registre infecté(s):

(Aucun élément nuisible détecté)

 

Dossier(s) infecté(s):

C:\Program Files\Save (Adware.WhenUSave) -> Quarantined and deleted successfully.

 

Fichier(s) infecté(s):

C:\System Volume Information\_restore{DCF58EE9-18A9-4DB4-B6F2-45CA8FD9F63D}\RP290\A0031984.exe (Adware.WhenUSave) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{DCF58EE9-18A9-4DB4-B6F2-45CA8FD9F63D}\RP290\A0031986.dll (Adware.WhenUSave) -> Quarantined and deleted successfully.

C:\Documents and Settings\Amélie\Bureau\SpyBurnerSE Report 17.08.2008 08-54-30.txt (Rogue.SpyBurner) -> Quarantined and deleted successfully.

C:\Documents and Settings\Amélie\Bureau\SpyBurnerSE Report 22.08.2008 14-57-29.txt (Rogue.SpyBurner) -> Quarantined and deleted successfully.

[Le sioux]

Bonsoir tit-stjean

 

Bien joué. Qu'en est-il du fonctionnement du PC et du problème initial ?

 

On continu :

 

1) Vide la quarantaine de MalwareByte's Anti-Malware :

 

Double-clique sur le raccourci de MalwareByte's Anti-Malware présent sur ton Bureau afin de le lancer, puis clique sur "Quarantaine", clique sur "Supprimer", puis ferme MalwareByte's Anti-Malware.

 

Malwarebytes' Anti-Malware est un bon scan anti malware que tu peux garder avec lequel tu pourras effectuer un nettoyage hebdomadaire, sans oublier de faire une mise à jour manuelle avant d'exécuter l’analyse .

Tuto Malwarebyte's Anti-Malware: http://forum.pcastuces.com/malwarebytes_an...oriel-f31s3.htm

Regarde ce test de Malekal_Morte http://forum.malekal.com/viewtopic.php?f=45&t=8765

 

2) OTMoveIt de Old_Timer : CleanUp

 

Lance OTMoveIt et clique sur le bouton CLEANUP

(ceci supprime toutes les traces des logiciels que nous avons utilisés qui traitent des infections spécifiques et qui sont mis à jour régulièrement, ainsi que OTMoveIt lui même)

 

Puis dans le popup "Cleanup list download successful. Begin cleanup process ?" accepte par Yes.

 

Un redémarrage du PC sera nécessaire.

Pense à vider ta poubelle.

 

3) Scan en ligne chez BitDefender

 

Aide toi de ce Tuto (merci Morgane) http://forum.pcastuces.com/bitdefender_onl...oriel-f31s2.htm

 

* Fais un scan antivirus en ligne http://www.bitdefender.fr/ avec IE et copie colle le résultat ici

* En bas, à gauche de la fenêtre, clique sur BitDefender SCAN ONLINE

* Dans la nouvelle fenêtre, clique sur I agree

* La fenêtre change encore, clique sur Click here to scan

* Les signatures se chargent, etc.

 

Poste en réponse le rapport de scan qui se trouve ici C:\windows\bdoscan8\scanres.txt ou scanres.html

 

@ suivre car il restera des conseils de sécurité a appliquer.

Modifié le 30 août 2008 par Le sioux

[tit-stjean]

salut le Sioux

 

je te recontacte après plusieurs semaines... vacances obliges

 

J'ai réalisé toutes les manipulations que tu demandais sauf la dernière sur un scan complet avec bitdefender. Impossible, j'ai réessayé plusieur fois et chaque tentative ont échoué.

 

Par contre j'ai fait un scan complet avec mon antivieru Kasper. Tu trouveras ci dessous le rapport.

 

Analyse complète: erreur (événements : 6, objets : 0, durée : 03:49:55)

07/09/2008 10:08:29 Lancement de la tâche

07/09/2008 10:13:05 Détectés Vulnérabilité http://www.viruslist.com/fr/advisories/31010 Faibles Exactement Fichier C:\windows\system32\ java.exe

07/09/2008 13:18:07 Détectés Vulnérabilité http://www.viruslist.com/fr/advisories/30832 Faibles Exactement Fichier C:\Program Files\Adobe\Acrobat 7.0\Reader\ AcroRd32.dll

07/09/2008 10:13:05 Détectés Vulnérabilité http://www.viruslist.com/fr/advisories/30599 Faibles Exactement Fichier C:\Program Files\OpenOffice.org 2.0\program\ soffice.exe

07/09/2008 10:09:59 Détectés Vulnérabilité http://www.viruslist.com/fr/advisories/30599 Faibles Exactement Fichier C:\Program Files\OpenOffice.org 2.0\program\ soffice.exe

07/09/2008 10:09:48 Détectés Vulnérabilité http://www.viruslist.com/fr/advisories/30599 Faibles Exactement Fichier C:\Program Files\OpenOffice.org 2.0\program\ soffice.BIN

 

 

 

Merci pour tes conseils.

[Le sioux]

Bonsoir tit stjean

 

Ca y est de retour de vacances.

 

Kaspersky te signale des vulnérabilités sur ton PC, des programmes qui ne sont pas à jour, la console Java, AcrobateReader et OpenOffice.

 

On peut tenter de faire un scan en ligne chez Kaspersky, mais je doute qu'il trouve quelque chose de plus que ton antivirus lui même.

 

Si ton PC fonctionne comme il faut, on va pouvoir conclure, je te donnerai aussi les infos nécessaires pour mettre à jour tes programmes qui ne le sont pas.

 

@ suivre car il reste des conseils de sécurité à appliquer.

Modifié le 20 septembre 2008 par Le sioux

[tit-stjean]

Salut Le sioux

 

je pense que mon pc est revenu au nominal . Quelle est la procédure à suivre pour tuer les derniers pbs.

 

Merci d'avance

[Le sioux]

Bonsoir tit-stjean

 

OK, on passe à la conclusion et aux conseils :

 

* Pour Malwarebytes' Anti-Malware

C'est un bon scan anti malware que tu peux garder avec lequel tu pourras effectuer un nettoyage hebdomadaire, sans oublier de faire une mise à jour manuelle avant d'exécuter l’analyse .

 

* Pour CCleaner :

- Tu peux le garder et l'utiliser fonction "Nettoyeur" sans modération , re-coche seulement dans avancés "Ne pas effacer fichiers...48h"

- Un petit complément d’info sur celui-ci :

http://perso.orange.fr/jesses/Docs/Logiciels/CCleaner.htm

Attention toutefois à l'utilisation de la fonction Erreur , sauvegarder les changements faits dans le Registre par sécurité.

 

=========================================================================

 

=> Maintenant que ton PC n'est plus infecté, désactive ta "Restauration du système" puis réactive la, ce qui éliminera les malwares mémorisés dans les anciens Points de contrôle et créera un point de restauration sain":

 

* Désactivation:

Clique droit sur le "Poste de travail" > Propriétés > onglet "Restauration du système" > coche la case "Désactiver la Restauration du système sur tous les lecteurs"

puis clique sur "Appliquer" et patiente jusqu'à ce que cela soit marqué "Désactivé" puis valide en cliquant sur OK.

* Activation :

Suis le même chemin ; décoche la case "Désactiver la Restauration du système sur tous les lecteurs"

puis clique sur "Appliquer" . Attends que cela soit à nouveau sur "Surveillance" puis clique sur OK.

 

=========================================================================

 

Je vais te donner plusieurs conseils par ordre de priorité, pour éviter cela à l'avenir, prends le temps de lire et d’exécuter cela à ton rythme, ne "t’abrutis" pas à tout faire d'un coup, quitte à y revenir par à coups et suivre ainsi petit à petit les différentes instructions

 

=========================================================================

 

=> Comportement à adopter : http://assiste.com.free.fr/p/abc/a/safe_cex.html

http://forum.pcastuces.com/prevention_et_p...r-f25s36131.htm

 

=> Reste protégé en utilisant un antivirus, un pare-feu. et un antispyware

Effectue des scan réguliers de surveillance (une fois tous les 15 jours, par exemple) avec ton antivirus et ton anti-spyware après les avoir mis à jour et supprime ce qu'ils peuvent trouver.

 

=========================================================================

 

=> Il te faut impérativement mettre à jour Windows (puis le tenir à jour régulièrement) ainsi qu' Internet Explorer:

 

* Via Internet Explorer, rends-toi sur Microsoft Update

http://windowsupdate.microsoft.com/

afin de télécharger puis d'installer toutes les mise à jour critiques proposées.

Tu seras obligé de faire redémarrer ton PC et de retourner à la fonction de mise à jour jusqu'à ce qu'il n'y ait plus rien de signalé.

 

* Par la suite, vérifie que les mises à jour de Windows soient bien réglés en automatique, pour cela :

 

Démarrer / Paramètres / Panneau de configuration et dans Centre de sécurité, clique sur Mises à jour automatiques, puis coche Installation automatique (recommandé), en dessous indique une heure où tu es connecté habituellement

puis clique sur Appliquer puis OK.

 

Tu pourrais installer le SP3, il reprends toutes les mises à jour depuis la sortie du SP2.

Note : Si ton processeur est un amd, dis moi le, je te ferai faire une manip avant d'installer le SP3 pour t'éviter d'éventuels soucis

 

=========================================================================

 

=> Il faut mettre à jour la console Java :

 

Rends toi sur http://www.java.com/fr/download/manual.jsp et télécharge la dernière version de la console Java ou ici http://www.filehippo.com/download_java_run...d_java_runtime/

Installe la, puis désinstalle les anciennes versions (la console Java) afin d’éliminer les failles de sécurité présentes dans celles-ci et de libérer, par la même occasion de l'espace disque.

via Démarrer / Paramètres / Panneau de configuration / et dans Ajout/suppression de programmes navigue jusqu'aux anciennes versions de la console Java qui s'y trouvent, puis Supprimer, suis les invites de commandes dans la boîte de dialogue qui va s'ouvrir afin de mener la désinstallation à son terme.

Fais cela pour chacune d'elles, une à une, fais redémarrer ton PC quand cela te sera demandé .

Retourne ensuite chez Java ci-dessus et clique sur le bouton "Vérifier l'installation" pour t'assurer que tout est en ordre.

 

=========================================================================

 

=> Afin d’éviter les autres failles de sécurité des autres programmes présents sur ton PC :

 

* Vérifie tes mises à jours des différents softs régulièrement ici et mets à jour ce qui ne l'est pas.

http://secunia.com/software_inspector/

-Tuto http://www.malekal.com/scan_vulnerabilite.php

 

=========================================================================

 

=> Afin de sécuriser ton PC comme il faut :

 

* Installe un vrai Pare-feu celui de Windows fourni avec le SP2 n'étant pas assez efficace:

 

-- ComodoFirewallPro Free 3.0 (En version anglaise uniquement pour le moment) :

 

/ !\ Attention à décocher les options inutiles pendant l'installation pour ne pas se retrouver avec une Toolbar en plus (AskBar) et un changement de page de démarrage IE / !\

 

Téléchargement : http://www.personalfirewall.comodo.com/dow...d_firewall.html

Tuto http://www.malekal.com/tutorial_COMODO_Firewall.php

http://infomars.fr/forum/index.php?showtopic=1225

Vidéo : http://www.nordicnature.net/tutorials/comodo/cf24wiz.htm

 

* En complément de ton Pare-feu, pour fermer les ports risqués (dangereux, s’ils restent ouverts) :

 

ZebProtect (application ne nécessitant pas d'installation à lancer et paramétrer une unique fois) http://telechargement.zebulon.fr/123.html

-Tuto http://www.zebulon.fr/articles/zebprotect.php

 

=========================================================================

 

=> Pour sécuriser ta navigation :

 

* Installe et utilise un bon antispyware preventif : SpyBot-Search & Destroy 1.6

(scan passif moyen mais protection préventive efficace avec ses 2 résidents, ses vaccinations et sa liste Hosts )

http://www.spybot.info/fr/index.html

 

-Tuto :

http://www.malekal.com/tutorial_spybot.php

http://perso.orange.fr/jesses/Docs/Logiciels/Spybot.htm

 

* Essaye et adopte le navigateur Firefox plus sûr / sécurisé qu'I.E

http://www.mozilla-europe.org/fr/products/firefox/

-Tutorial pour le sécuriser: http://forum.zebulon.fr/index.php?showtopic=69628

 

Firefox n'utilise pas le dangereux protocole ActiveX

Ce que sont les activeX : http://assiste.com.free.fr/p/abc/a/activex_dangers.html

S'en protéger : http://assiste.com.free.fr/p/abc/c/anti_activex.html

 

=========================================================================

 

Peux tu stp, éditer ton premier message et mettre [Résolu] devant le titre de celui-ci, merci

 

Voila bon courage et bonnes lectures.

 

Content d'avoir pu t'aider.

 

Salut.