Aller au contenu

  • Pas encore inscrit ?

    Pourquoi ne pas vous inscrire ? C'est simple, rapide et gratuit.
    Pour en savoir plus, lisez Les avantages de l'inscription... et la Charte de Zébulon.
    De plus, les messages que vous postez en tant qu'invité restent invisibles tant qu'un modérateur ne les a pas validés. Inscrivez-vous, ce sera un gain de temps pour tout le monde, vous, les helpeurs et les modérateurs ! :wink:

Ralentissement sur IExplorer, fenetres intempestives...

cliffburton

Par cliffburton
dans Analyses et éradication malwares

 Partager

Messages recommandés

cliffburton Member

cliffburton

Posté(e)
Posté(e)

Bonjour,

 

J'ai de gros ralentissements, en particulier quand je lance internet Explorer, alors que les autres PCs connectés à mon routeur fonctionnent normalement. Des fenêtres de publicité apparaissent de manière intempestive, notamment pour un antivirus. Antivir a aussi détecté la présence d'un ou plusieurs Trojans, mais ne peut s'en débarasser, même en mode sans échec. Mon PC refuse aussi de retrouver un point de restauration sauvegardé.

 

Je vous soumets mon rapport Hijackthis, en espérant que vous puissiez m'aider :

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 20:34:08, on 18/09/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Marvell\61xx\Apache2\bin\Apache.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Marvell\61xx\Apache2\bin\Apache.exe

C:\WINDOWS\system32\wscntfy.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\system32\Rundll32.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Documents and Settings\Jo\Bureau\HiJackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [WinSys2] C:\WINDOWS\system32\winsys2.exe

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [c0ecbaf0] rundll32.exe "C:\WINDOWS\system32\pwusgbog.dll",b

O4 - HKLM\..\Run: [bMc3df896c] Rundll32.exe "C:\WINDOWS\system32\vixfmpay.dll",s

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKLM\..\Policies\Explorer\Run: [Lsass Service] C:\Documents and Settings\Jo\Application Data\Microsoft\Windows\lsass.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O20 - AppInit_DLLs: ysslss.dll

O23 - Service: Avira AntiVir Personal – Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Marvell RAID Event Agent (Marvell RAID) - Unknown owner - C:\Program Files\Marvell\61xx\svc\mvraidsvc.exe

O23 - Service: MRU Web Service (MRUWebService) - Apache Software Foundation - C:\Program Files\Marvell\61xx\Apache2\bin\Apache.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

 

--

End of file - 4063 bytes

 

Merci d'avance :P

Apollo Devil Member !

Apollo

Posté(e)
Posté(e)

Bonsoir,

 

Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau.

***Si le lien ne fonctionne pas, essaie celui-ci : http://download.bleepingcomputer.com/andymanchesta/SDFix.exe ***

 

Double clique sur SDFix.exe et choisis Install. L'outil sera extrait à la racine du lecteur système (généralement le C:\).

Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici :

  • Redémarre ton ordinateur
  • Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).
  • A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
  • Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".
  • Choisis ton compte.

Déroule la liste des instructions ci-dessous :

  • Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur RunThis.bat pour lancer le script.
  • Appuie sur Y pour commencer le processus de nettoyage.
  • Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
  • Appuie sur une touche pour redémarrer le PC.
  • Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.
  • Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.
  • Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.
  • Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.
  • Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum, avec un nouveau log Hijackthis !

N.B.:

- Le fichier SDFIX_README.htm (dans le dossier SDFix) contient la liste des malwares pris en compte par l'outil.

- Andy fait plusieurs mises à jour, souvent plus d'une par jour... N'hésitez donc pas à demander de télécharger une nouvelle version lorsque le nettoyage dure et que l'outil ne semble pas tout voir.

 

Si SDfix ne se lançait pas:

 

- Démarrer/Exécuter

- Copie/colle ceci:

%systemroot%\system32\cmd.exe /K %systemdrive%\SDFix\apps\FixPath.exe

 

-Clique sur ok, et valide.

-Redémarre et essaie de nouveau de lancer SDfix.

 

Poste un nouveau log Hijackthis après ça stp.

 

++

cliffburton Member

cliffburton

Posté(e)
  • Auteur
Posté(e)

Bonsoir et merci

 

J'ai suivi les instructions mais ça n'a pas l'air d'avoir résolu le problème. Je joint le rapport SDFix ainsi que le nouveau de hijackthis (qui semble être quasiment le même) :

 

rapport SDFix :

 

SDFix: Version 1.226

Run by Jo on 21/09/2008 at 20:57

 

Microsoft Windows XP [version 5.1.2600]

Running From: C:\SDFix

 

Checking Services :

 

 

Restoring Default Security Values

Restoring Default Hosts File

 

Rebooting

 

 

Checking Files :

 

Trojan Files Found:

 

C:\WINDOWS\system32\xxyywUKe.dll - Deleted

C:\Documents and Settings\Jo\Local Settings\Temp\tem4E.tmp.exe - Deleted

C:\Program Files\FBrowsingAdvisor\unins000.exe - Deleted

C:\Program Files\FBrowsingAdvisor\XPCOMEvents.dll - Deleted

C:\DOCUME~1\Jo\LOCALS~1\Temp\TMP2.tmp - Deleted

C:\DOCUME~1\Jo\LOCALS~1\Temp\TMP4.tmp - Deleted

C:\DOCUME~1\Jo\LOCALS~1\Temp\TMP5.tmp - Deleted

C:\DOCUME~1\Jo\LOCALS~1\Temp\TMP6.tmp - Deleted

C:\DOCUME~1\Jo\LOCALS~1\Temp\TMP9.tmp - Deleted

C:\DOCUME~1\Jo\LOCALS~1\Temp\TMP17.tmp - Deleted

C:\DOCUME~1\Jo\LOCALS~1\Temp\TMP18.tmp - Deleted

C:\DOCUME~1\Jo\LOCALS~1\Temp\TMP1A.tmp - Deleted

C:\DOCUME~1\Jo\LOCALS~1\Temp\TMP1D.tmp - Deleted

C:\DOCUME~1\Jo\LOCALS~1\Temp\TMP1F.tmp - Deleted

C:\DOCUME~1\Jo\LOCALS~1\Temp\TMP2.tmp - Deleted

C:\DOCUME~1\Jo\LOCALS~1\Temp\TMP28.tmp - Deleted

C:\DOCUME~1\Jo\LOCALS~1\Temp\TMP2A.tmp - Deleted

C:\DOCUME~1\Jo\LOCALS~1\Temp\TMP2B.tmp - Deleted

C:\DOCUME~1\Jo\LOCALS~1\Temp\TMP35.tmp - Deleted

C:\DOCUME~1\Jo\LOCALS~1\Temp\TMP4.tmp - Deleted

C:\DOCUME~1\Jo\LOCALS~1\Temp\TMP5.tmp - Deleted

C:\DOCUME~1\Jo\LOCALS~1\Temp\TMP6.tmp - Deleted

C:\DOCUME~1\Jo\LOCALS~1\Temp\TMP9.tmp - Deleted

C:\DOCUME~1\Jo\LOCALS~1\Temp\removalfile.bat - Deleted

C:\regxpcom.exe - Deleted

 

 

 

Folder C:\Program Files\FBrowsingAdvisor - Removed

 

 

Removing Temp Files

 

ADS Check :

 

 

 

Final Check :

 

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-09-21 21:27:22

Windows 5.1.2600 Service Pack 2 NTFS

 

scanning hidden processes ...

 

scanning hidden services & system hive ...

 

scanning hidden registry entries ...

 

scanning hidden files ...

 

scan completed successfully

hidden processes: 0

hidden services: 0

hidden files: 0

 

 

Remaining Services :

 

 

 

 

Authorized Application Key Export:

 

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]

"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

"C:\\Program Files\\Marvell\\61xx\\Apache2\\bin\\Apache.exe"="C:\\Program Files\\Marvell\\61xx\\Apache2\\bin\\Apache.exe:*:Disabled:Apache HTTP Server"

"C:\\Program Files\\Ascaron Entertainment\\Sacred\\GameServer.exe"="C:\\Program Files\\Ascaron Entertainment\\Sacred\\GameServer.exe:*:Enabled:Sacred Gameserver"

"C:\\Program Files\\Ascaron Entertainment\\Sacred\\Sacred.exe"="C:\\Program Files\\Ascaron Entertainment\\Sacred\\Sacred.exe:*:Enabled:Sacred"

"C:\\Program Files\\uTorrent\\uTorrent.exe"="C:\\Program Files\\uTorrent\\uTorrent.exe:*:Enabled:æTorrent"

"C:\\Program Files\\TrackMania Nations ESWC\\TmNationsESWC.exe"="C:\\Program Files\\TrackMania Nations ESWC\\TmNationsESWC.exe:*:Enabled:TmNationsESWC"

"C:\\Program Files\\Ubisoft\\Assassin's Creed\\AssassinsCreed_Dx9.exe"="C:\\Program Files\\Ubisoft\\Assassin's Creed\\AssassinsCreed_Dx9.exe:*:Enabled:Assassin's Creed Dx9"

"C:\\Program Files\\Ubisoft\\Assassin's Creed\\AssassinsCreed_Dx10.exe"="C:\\Program Files\\Ubisoft\\Assassin's Creed\\AssassinsCreed_Dx10.exe:*:Enabled:Assassin's Creed Dx10"

"C:\\Program Files\\Ubisoft\\Assassin's Creed\\AssassinsCreed_Launcher.exe"="C:\\Program Files\\Ubisoft\\Assassin's Creed\\AssassinsCreed_Launcher.exe:*:Enabled:Assassin's Creed Update"

 

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]

"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

 

Remaining Files :

 

 

File Backups: - C:\SDFix\backups\backups.zip

 

Files with Hidden Attributes :

 

Thu 31 Jul 2008 8,956,536 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\4460496db0bc952edb44fdddc48b0abb\BIT1.tmp"

 

Finished!

 

 

 

Rapport hijackthis :

 

 

 

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 21:34:38, on 21/09/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Marvell\61xx\Apache2\bin\Apache.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Marvell\61xx\Apache2\bin\Apache.exe

C:\WINDOWS\system32\wscntfy.exe

C:\WINDOWS\system32\notepad.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\system32\Rundll32.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Documents and Settings\Jo\Bureau\HiJackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [WinSys2] C:\WINDOWS\system32\winsys2.exe

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [c0ecbaf0] rundll32.exe "C:\WINDOWS\system32\ajdfkygq.dll",b

O4 - HKLM\..\Run: [bMc3df896c] Rundll32.exe "C:\WINDOWS\system32\prsdldki.dll",s

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O20 - AppInit_DLLs: xprvfy.dll

O23 - Service: Avira AntiVir Personal – Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Marvell RAID Event Agent (Marvell RAID) - Unknown owner - C:\Program Files\Marvell\61xx\svc\mvraidsvc.exe

O23 - Service: MRU Web Service (MRUWebService) - Apache Software Foundation - C:\Program Files\Marvell\61xx\Apache2\bin\Apache.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

 

--

End of file - 3920 bytes

 

 

 

 

Merci d'avance

Apollo Devil Member !

Apollo

Posté(e)
Posté(e)

Re,

 

Télécharge Malwarebytes' Anti-Malware (MBAM)

 

  • Double clique sur le fichier téléchargé pour lancer le processus d'installation.
  • Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
  • Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
  • Sélectionne "Exécuter un examen complet"
  • Clique sur "Rechercher"
  • L'analyse démarre, le scan est relativement long, c'est normal.
  • A la fin de l'analyse, un message s'affiche :
    L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.
    Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
  • Ferme tes navigateurs.
  • Si des malwares ont été détectés, clique sur Afficher les résultats.
    Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
  • MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.

Si MBAM demande à être redémarré, reboote le pc.

 

Poste un nouveau log Hijackthis après le redémarrage de la machine stp.

 

@+

cliffburton Member

cliffburton

Posté(e)
  • Auteur
Posté(e)

bonsoir

 

A priori le probleme est reglé (en tout cas au niveau des symptomes).

 

Voici le rapport MBAM :

 

Malwarebytes' Anti-Malware 1.28

Version de la base de données: 1188

Windows 5.1.2600 Service Pack 2

 

21/09/2008 22:39:43

mbam-log-2008-09-21 (22-39-43).txt

 

Type de recherche: Examen complet (C:\|)

Eléments examinés: 128877

Temps écoulé: 31 minute(s), 10 second(s)

 

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 3

Clé(s) du Registre infectée(s): 13

Valeur(s) du Registre infectée(s): 3

Elément(s) de données du Registre infecté(s): 2

Dossier(s) infecté(s): 1

Fichier(s) infecté(s): 55

 

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Module(s) mémoire infecté(s):

C:\WINDOWS\system32\ajdfkygq.dll (Trojan.Vundo.H) -> Delete on reboot.

C:\WINDOWS\system32\jkkKdecd.dll (Trojan.Vundo.H) -> Delete on reboot.

C:\WINDOWS\system32\xprvfy.dll (Trojan.Vundo) -> Delete on reboot.

 

Clé(s) du Registre infectée(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{a29e142b-1861-4ecd-83c2-af9fe025b30b} (Trojan.Vundo.H) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\CLSID\{a29e142b-1861-4ecd-83c2-af9fe025b30b} (Trojan.Vundo.H) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{db5b19eb-0ab9-4b15-9c51-22f78604ba01} (Trojan.Vundo.H) -> Delete on reboot.

HKEY_CLASSES_ROOT\CLSID\{db5b19eb-0ab9-4b15-9c51-22f78604ba01} (Trojan.Vundo.H) -> Delete on reboot.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\rdfa (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan (Malware.Trace) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\contim (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\dslcnnct (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\IProxyProvider (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Track System (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\aoprndtws (Trojan.Vundo) -> Quarantined and deleted successfully.

 

Valeur(s) du Registre infectée(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\c0ecbaf0 (Trojan.Vundo.H) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\winsys2 (Spyware.OnlineGames) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\bmc3df896c (Trojan.Agent) -> Delete on reboot.

 

Elément(s) de données du Registre infecté(s):

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Notification Packages (Trojan.Vundo.H) -> Data: c:\windows\system32\jkkkdecd -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Authentication Packages (Trojan.Vundo) -> Data: c:\windows\system32\jkkkdecd -> Delete on reboot.

 

Dossier(s) infecté(s):

C:\Program Files\FBrowserAdvisor (Trojan.FBrowsingAdvisor) -> Quarantined and deleted successfully.

 

Fichier(s) infecté(s):

C:\WINDOWS\system32\xprvfy.dll (Trojan.Vundo.H) -> Delete on reboot.

C:\WINDOWS\system32\jkkKdecd.dll (Trojan.Vundo.H) -> Delete on reboot.

C:\WINDOWS\system32\dcedKkkj.ini (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\dcedKkkj.ini2 (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\ajdfkygq.dll (Trojan.Vundo.H) -> Delete on reboot.

C:\WINDOWS\system32\qgykfdja.ini (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\Documents and Settings\Administrateur.BOREL-5E5EF3B58.000\Local Settings\Temporary Internet Files\Content.IE5\MJG8YDT8\nd82m0[1] (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\Documents and Settings\Administrateur.BOREL-5E5EF3B58.000\Local Settings\Temporary Internet Files\Content.IE5\ZO29U228\upd105320[1] (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\Documents and Settings\Jo\Local Settings\Temporary Internet Files\Content.IE5\AJMJUHI3\nd82m0[1] (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\Documents and Settings\Jo\Local Settings\Temporary Internet Files\Content.IE5\MJG8YDT8\upd105320[1] (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\Documents and Settings\Jo\Local Settings\Temporary Internet Files\Content.IE5\MJG8YDT8\nd82m0[1] (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\Documents and Settings\Jo\Local Settings\Temporary Internet Files\Content.IE5\MJG8YDT8\CAGH6JKT (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\Documents and Settings\Jo\Local Settings\Temporary Internet Files\Content.IE5\NZP7710W\upd105320[1] (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP72\A0003847.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP73\A0003885.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP79\A0004626.dll (Trojan.FBrowsingAdvisor) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP84\A0005490.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP84\A0005491.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP84\A0005519.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP84\A0005492.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP84\A0005725.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP84\A0005726.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP84\A0005734.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP85\A0006176.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP85\A0006179.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP85\A0006392.dll (Trojan.FBrowsingAdvisor) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP85\A0006804.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP85\A0006844.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP85\A0006911.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP90\A0007516.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP91\A0007651.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP92\A0007762.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP92\A0007769.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP92\A0007771.dll (Trojan.FBrowsingAdvisor) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP92\A0007772.exe (Trojan.FBrowsingAdvisor) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP92\A0007780.exe (Trojan.FBrowsingAdvisor) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP92\A0007783.exe (Adware.Agent) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP92\A0007785.dll (Trojan.FBrowsingAdvisor) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{58D00FB0-4A24-41DB-96C1-1ABEA4351F86}\RP92\A0007786.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\oprdnk.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\rqRHYqPj.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\wbqgmbpj.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\efcawuVn.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\fyundexs.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\lthaocxh.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\irpjwupt.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\jkkHyyVn.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\xwqhrv.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\ysslss.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\cookies.ini (Malware.Trace) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\WinSys2.exe (Spyware.OnlineGames) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\prsdldki.dll (Trojan.Agent) -> Delete on reboot.

C:\WINDOWS\pskt.ini (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\BMc3df896c.xml (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\BMc3df896c.txt (Trojan.Vundo) -> Quarantined and deleted successfully.

 

Et le rapport Hijackthis :

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 22:45:21, on 21/09/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Marvell\61xx\Apache2\bin\Apache.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\Program Files\Marvell\61xx\Apache2\bin\Apache.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wscntfy.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

C:\Documents and Settings\Jo\Bureau\HiJackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O20 - AppInit_DLLs: xprvfy.dll

O23 - Service: Avira AntiVir Personal – Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Marvell RAID Event Agent (Marvell RAID) - Unknown owner - C:\Program Files\Marvell\61xx\svc\mvraidsvc.exe

O23 - Service: MRU Web Service (MRUWebService) - Apache Software Foundation - C:\Program Files\Marvell\61xx\Apache2\bin\Apache.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

 

--

End of file - 3653 bytes

 

 

MERCI BEAUCOUP

Apollo Devil Member !

Apollo

Posté(e)
Posté(e)

Re,

 

Le pc a-t-il été redémarré avant de refaire le log Hijackthis?

 

Si ce n'est pas le cas, reboote le pc et realnce une analyse MBAM rapide stp.

 

Il y a encore quelque-chose qui me chifonne dans le log.

 

Reposte alors un nouveau log après ça.

 

NB: tu devrais mettre Adobe Acrobat Reader à jour ou installer une version plus récente (failles de sécurité dans ta version).

 

@++

Rejoindre la conversation

Vous pouvez publier maintenant et vous inscrire plus tard. Si vous avez un compte, connectez-vous maintenant pour publier avec votre compte.
Remarque : votre message nécessitera l’approbation d’un modérateur avant de pouvoir être visible.

Invité
Répondre à ce sujet…

×   Collé en tant que texte enrichi.   Coller en tant que texte brut à la place

  Seulement 75 émoticônes maximum sont autorisées.

×   Votre lien a été automatiquement intégré.   Afficher plutôt comme un lien

×   Votre contenu précédent a été rétabli.   Vider l’éditeur

×   Vous ne pouvez pas directement coller des images. Envoyez-les depuis votre ordinateur ou insérez-les depuis une URL.

×
 Partager
Aller sur la liste des sujets

  • En ligne récemment   0 membre est en ligne

    • Aucun utilisateur enregistré regarde cette page.
×
×
  • Créer...