Analyse Rapports TB.txt Fixnavi.txt Cleannavi.txt

okapimct · le 10 mars 2009

-----------\\ ToolBar S&D 1.2.8 XP/Vista

Microsoft Windows XP Professionnel ( v5.1.2600 ) Service Pack 2

X86-based PC ( Uniprocessor Free : Processeur Intel Pentium III )

BIOS : PhoenixBIOS Version 4.06 Rev. 1.07.1215

USER : Patrick ( Administrator )

BOOT : Fail-safe boot

Antivirus : avast! antivirus 4.8.1335 [VPS 090309-0] 4.8.1335 (Activated)

A:\ (USB)

C:\ (Local Disk) - NTFS - Total:9 Go (Free:0 Go)

D:\ (CD or DVD)

E:\ (Local Disk) - NTFS - Total:8 Go (Free:0 Go)

G:\ (CD or DVD) - CDFS - Total:0 Go (Free:0 Go)

"C:\ToolBar SD" ( MAJ : 21-12-2008|20:47 )

Option : [2] ( 10/03/2009|12:44 )

C:\WINDOWS\iun6002.exe

-----------\\ SUPPRESSION

Supprime! - C:\DOCUME~1\Patrick\Cookies\patrick@imissyoualot[2].txt

Supprime! - C:\WINDOWS\iun6002.exe

-----------\\ Recherche de Fichiers / Dossiers ...

-----------\\ [..\Internet Explorer\Main]

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]

"Start Page"="http://fr.yahoo.com"'>http://fr.yahoo.com"

"Search Page"="http://fr.rd.yahoo.com/customize/ie/defaults/sp/msgr9/*http://fr.search.yahoo.com"'>http://fr.rd.yahoo.com/customize/ie/defaults/sp/msgr9/*http://fr.search.yahoo.com"

"Search Bar"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]

"Default_Page_URL"="http://fr.yahoo.com"

"Default_Search_URL"="http://fr.rd.yahoo.com/customize/ie/defaults/su/msgr9/*http://fr.search.yahoo.com"

"Search Page"="http://fr.rd.yahoo.com/customize/ie/defaults/sp/msgr9/*http://fr.search.yahoo.com"

"Start Page"="http://www.msn.com/"

--------------------\\ Recherche d'autres infections

--------------------\\ Suspect ..

C:\WINDOWS\photo24.zip

C:\WINDOWS\photo3.zip

C:\WINDOWS\photo51.zip

C:\WINDOWS\photo57.zip

C:\WINDOWS\photo60.zip

C:\WINDOWS\photo69.zip

C:\WINDOWS\photo9.zip

C:\WINDOWS\photo93.zip

C:\WINDOWS\photos010.zip

C:\WINDOWS\photos019.zip

C:\WINDOWS\photos040.zip

C:\WINDOWS\photos043.zip

C:\WINDOWS\photos049.zip

C:\WINDOWS\photos055.zip

C:\WINDOWS\photos088.zip

C:\WINDOWS\photos097.zip

C:\WINDOWS\webcam-photos011.zip

C:\WINDOWS\webcam-photos017.zip

C:\WINDOWS\webcam-photos026.zip

C:\WINDOWS\webcam-photos035.zip

C:\WINDOWS\webcam-photos038.zip

C:\WINDOWS\webcam-photos050.zip

C:\WINDOWS\webcam-photos062.zip

C:\WINDOWS\webcam-photos077.zip

C:\WINDOWS\webcam-photos080.zip

C:\WINDOWS\webcam-photos083.zip

C:\WINDOWS\webcam-photos095.zip

Aucune autre infection trouvée !

1 - "C:\ToolBar SD\TB_1.txt" - 10/03/2009|12:46 - Option : [2]

-----------\\ Fin du rapport a 12:46:17,13

Search Navipromo version 3.7.5 commencé le 10/03/2009 à 11:14:08,75

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!

!!! Postez ce rapport sur le forum pour le faire analyser !!!

!!! Ne lancez pas la partie désinfection sans l'avis d'un spécialiste !!!

Outil exécuté depuis C:\Program Files\navilog1

Mise à jour le 26.02.2009 à 18h00 par IL-MAFIOSO

Microsoft Windows XP Professionnel ( v5.1.2600 ) Service Pack 2

X86-based PC ( Uniprocessor Free : Processeur Intel Pentium III )

BIOS : PhoenixBIOS Version 4.06 Rev. 1.07.1215

USER : Patrick ( Administrator )

BOOT : Normal boot

Antivirus : avast! antivirus 4.8.1335 [VPS 090309-0] 4.8.1335 (Activated)

A:\ (USB)

C:\ (Local Disk) - NTFS - Total:9 Go (Free:0 Go)

D:\ (CD or DVD)

E:\ (Local Disk) - NTFS - Total:8 Go (Free:0 Go)

G:\ (CD or DVD) - CDFS - Total:0 Go (Free:0 Go)

Recherche executé en mode normal

*** Recherche Programmes installés ***

Favorit

Live-Player

*** Recherche dossiers dans "C:\WINDOWS" ***

*** Recherche dossiers dans "C:\Program Files" ***

...\Instant Access trouvé !

...\Live-Player trouvé !

*** Recherche dossiers dans "C:\Documents and Settings\All Users\menudm~1\progra~1" ***

...\Live-Player trouvé !

*** Recherche dossiers dans "C:\Documents and Settings\All Users\menudm~1" ***

*** Recherche dossiers dans "c:\docume~1\alluse~1\applic~1" ***

*** Recherche dossiers dans "C:\Documents and Settings\Patrick\applic~1" ***

...\Live-Player trouvé !

*** Recherche dossiers dans "C:\DOCUME~1\ADMINI~1\applic~1" ***

*** Recherche dossiers dans "C:\Documents and Settings\Patrick\locals~1\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\ADMINI~1\locals~1\applic~1" ***

*** Recherche dossiers dans "C:\Documents and Settings\Patrick\menudm~1\progra~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\ADMINI~1\menudm~1\progra~1" ***

*** Recherche avec Catchme-rootkit/stealth malware detector par gmer ***

pour + d'infos : http://www.gmer.net

*** Recherche avec GenericNaviSearch ***

!!! Tous ces résultats peuvent révéler des fichiers légitimes !!!

!!! A vérifier impérativement avant toute suppression manuelle !!!

* Recherche dans "C:\WINDOWS\system32" *

* Recherche dans "C:\Documents and Settings\Patrick\locals~1\applic~1" *

* Recherche dans "C:\DOCUME~1\ADMINI~1\locals~1\applic~1" *

*** Recherche fichiers ***

c:\docume~1\alluse~1\bureau\Live-Player.lnk trouvé !

C:\WINDOWS\dialerexe.ini trouvé !

*** Recherche clés spécifiques dans le Registre ***

!! Les clés trouvées ne sont pas forcément infectées !!

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"aauwuug"="\"c:\\documents and settings\\patrick\\local settings\\application data\\aauwuug.exe\" aauwuug"

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"qvfcnr"="\"c:\\documents and settings\\patrick\\local settings\\application data\\qvfcnr.exe\" qvfcnr"

*** Module de Recherche complémentaire ***

(Recherche fichiers spécifiques)

1)Recherche nouveaux fichiers Instant Access :

2)Recherche Heuristique :

* Dans "C:\WINDOWS\system32" :

* Dans "C:\Documents and Settings\Patrick\locals~1\applic~1" :

aauwuug.exe trouvé !

aauwuug.dat trouvé !

aauwuug_nav.dat trouvé !

aauwuug_navps.dat trouvé !

* Dans "C:\DOCUME~1\ADMINI~1\locals~1\applic~1" :

3)Recherche Certificats :

Certificat Egroup absent !

Certificat Electronic-Group absent !

Certificat Montorgueil absent !

Certificat OOO-Favorit absent !

Certificat Sunny-Day-Design-Ltd absent !

4)Recherche autres dossiers et fichiers connus :

*** Analyse terminée le 10/03/2009 à 11:19:14,70 ***

Clean Navipromo version 3.7.5 commencé le 10/03/2009 à 12:36:23,17

Outil exécuté depuis C:\Program Files\navilog1

Mise à jour le 26.02.2009 à 18h00 par IL-MAFIOSO

Microsoft Windows XP Professionnel ( v5.1.2600 ) Service Pack 2

X86-based PC ( Uniprocessor Free : Processeur Intel Pentium III )

BIOS : PhoenixBIOS Version 4.06 Rev. 1.07.1215

USER : Patrick ( Administrator )

BOOT : Fail-safe boot

Antivirus : avast! antivirus 4.8.1335 [VPS 090309-0] 4.8.1335 (Activated)

A:\ (USB)

C:\ (Local Disk) - NTFS - Total:9 Go (Free:0 Go)

D:\ (CD or DVD)

E:\ (Local Disk) - NTFS - Total:8 Go (Free:0 Go)

G:\ (CD or DVD) - CDFS - Total:0 Go (Free:0 Go)

Mode suppression automatique

avec prise en charge résultats Catchme et GNS

Nettoyage executé en mode sans échec

*** fsbl1.txt non trouvé ***

(Assurez-vous que Catchme n'avait rien trouvé lors de la recherche)

*** Suppression avec sauvegardes résultats GenericNaviSearch ***

* Suppression dans "C:\WINDOWS\System32" *

* Suppression dans "C:\Documents and Settings\Patrick\locals~1\applic~1" *

* Suppression dans "C:\DOCUME~1\ADMINI~1\locals~1\applic~1" *

*** Suppression dossiers dans "C:\WINDOWS" ***

*** Suppression dossiers dans "C:\Program Files" ***

...\Instant Access ...suppression...

...\Instant Access supprimé !

...\Live-Player ...suppression...

...\Live-Player supprimé !

*** Suppression dossiers dans "C:\Documents and Settings\All Users\menudm~1\progra~1" ***

...\Live-Player ...suppression...

...\Live-Player supprimé !

*** Suppression dossiers dans "C:\Documents and Settings\All Users\menudm~1" ***

*** Suppression dossiers dans "c:\docume~1\alluse~1\applic~1" ***

*** Suppression dossiers dans "C:\Documents and Settings\Patrick\applic~1" ***

...\Live-Player ...suppression...

...\Live-Player supprimé !

*** Suppression dossiers dans "C:\DOCUME~1\ADMINI~1\applic~1" ***

*** Suppression dossiers dans "C:\Documents and Settings\Patrick\locals~1\applic~1" ***

*** Suppression dossiers dans "C:\DOCUME~1\ADMINI~1\locals~1\applic~1" ***

*** Suppression dossiers dans "C:\Documents and Settings\Patrick\menudm~1\progra~1" ***

*** Suppression dossiers dans "C:\DOCUME~1\ADMINI~1\menudm~1\progra~1" ***

*** Suppression fichiers ***

c:\docume~1\alluse~1\bureau\Live-Player.lnk supprimé !

C:\WINDOWS\dialerexe.ini supprimé !

*** Suppression fichiers temporaires ***

Nettoyage contenu C:\WINDOWS\Temp effectué !

Nettoyage contenu C:\Documents and Settings\Patrick\locals~1\Temp effectué !

*** Traitement Recherche complémentaire ***

(Recherche fichiers spécifiques)

1)Suppression avec sauvegardes nouveaux fichiers Instant Access :

2)Recherche, création sauvegardes et suppression Heuristique :

* Dans "C:\WINDOWS\system32" *

C:\WINDOWS\prefetch\aauwuug*.pf trouvé !

Copie C:\WINDOWS\prefetch\aauwuug*.pf réalisée avec succès !

C:\WINDOWS\prefetch\aauwuug*.pf supprimé !

C:\WINDOWS\prefetch\qvfcnr*.pf trouvé !

Copie C:\WINDOWS\prefetch\qvfcnr*.pf réalisée avec succès !

C:\WINDOWS\prefetch\qvfcnr*.pf supprimé !

* Dans "C:\Documents and Settings\Patrick\locals~1\applic~1" *

aauwuug.exe trouvé !

Copie aauwuug.exe réalisée avec succès !

aauwuug.exe supprimé !

aauwuug.dat trouvé !

Copie aauwuug.dat réalisée avec succès !

aauwuug.dat supprimé !

aauwuug_nav.dat trouvé !

Copie aauwuug_nav.dat réalisée avec succès !

aauwuug_nav.dat supprimé !

aauwuug_navps.dat trouvé !

Copie aauwuug_navps.dat réalisée avec succès !

aauwuug_navps.dat supprimé !

* Dans "C:\DOCUME~1\ADMINI~1\locals~1\applic~1" *

*** Sauvegarde du Registre vers dossier Safebackup ***

sauvegarde du Registre réalisée avec succès !

*** Nettoyage Registre ***

Nettoyage Registre Ok

*** Certificats ***

Certificat Egroup absent !

Certificat Electronic-Group absent !

Certificat Montorgueil absent !

Certificat OOO-Favorit absent !

Certificat Sunny-Day-Design-Ltdt absent !

*** Clés RUN orphelines Navipromo ***

!! Résultats temporairement non pris en charge !!

!! Les clés trouvées ne sont pas forcément infectées !!

Clés trouvés :

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"qvfcnr"="\"c:\\documents and settings\\patrick\\local settings\\application data\\qvfcnr.exe\" qvfcnr"

*** Recherche autres dossiers et fichiers connus ***

*** Nettoyage terminé le 10/03/2009 à 12:38:10,00 ***

REPONDEZ-MOI... okapimct@yahoo.fr

.

pear · le 10 mars 2009

Bonjour,

Télécharger sur le bureauOTMoveIt3 by OldTimer .

Double-clic sur OTMoveIt3.exe pour le lancer.

Sous Vista,Clic droit sur le fichier ->Choisir Exécuter en tant qu' Administrateur

Vérifier que Unregister Dll's and Ocx's soit coché.

* Copiez /Collez les lignes ci dessous):

:Processes

explorer.exe

:Services

:Files

c:\documents and settings\patrick\local settings\application data\qvfcnr.exe

:Reg

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"qvfcnr"=-

:Commands

[purity]

[emptytemp]

[start explorer]

[Reboot]

Revenez dans OTMoveIt3,

Clic droit sur la fenêtre "Paste Instructions for Items to be Moved" sous la barre jaune et choisir Coller(Paste).

* Click le bouton rouge Moveit!

* Fermez OTMoveIt3

Votre Pc va redémarrer.

Rendez vous dans le dossier C:\_OTMoveIt\MovedFiles ,

ouvrez le dernier fichier .log

Copiez/collez en le contenu dans votre prochaine réponse

Rendez vous à cette addresse:

http://www.virustotal.com/fr/

Cliquez sur parcourir pour trouver ces fichiers:

C:\WINDOWS\photo24.zip

C:\WINDOWS\photo3.zip

C:\WINDOWS\photo51.zip

C:\WINDOWS\photo57.zip

C:\WINDOWS\photo60.zip

C:\WINDOWS\photo69.zip

C:\WINDOWS\photo9.zip

C:\WINDOWS\photo93.zip

C:\WINDOWS\photos010.zip

C:\WINDOWS\photos019.zip

C:\WINDOWS\photos040.zip

C:\WINDOWS\photos043.zip

C:\WINDOWS\photos049.zip

C:\WINDOWS\photos055.zip

C:\WINDOWS\photos088.zip

C:\WINDOWS\photos097.zip

C:\WINDOWS\webcam-photos011.zip

C:\WINDOWS\webcam-photos017.zip

C:\WINDOWS\webcam-photos026.zip

C:\WINDOWS\webcam-photos035.zip

C:\WINDOWS\webcam-photos038.zip

C:\WINDOWS\webcam-photos050.zip

C:\WINDOWS\webcam-photos062.zip

C:\WINDOWS\webcam-photos077.zip

C:\WINDOWS\webcam-photos080.zip

C:\WINDOWS\webcam-photos083.zip

C:\WINDOWS\webcam-photos095.zip

et cliquez sur "envoyer le fichier"

Copiez /collez la réponse dans votre prochain message.

Modifié le 10 mars 2009 par pear

okapimct · le 10 mars 2009

Merci,

Voici les résultats sur le 2 procedures :

C:\_OTMoveIt\MovedFiles\03102009_152222.log

========== PROCESSES ==========

Process explorer.exe killed successfully.

========== SERVICES/DRIVERS ==========

========== FILES ==========

File/Folder c:\documents and settings\patrick\local settings\application data\qvfcnr.exe

not found.

========== REGISTRY ==========

Registry value HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\\qvfcnr not

found.

========== COMMANDS ==========

File delete failed. C:\DOCUME~1\Patrick\LOCALS~1\Temp\JETAA0D.tmp scheduled to be deleted

on reboot.

File delete failed. C:\DOCUME~1\Patrick\LOCALS~1\Temp\WCESLog.log scheduled to be deleted

on reboot.

File delete failed. C:\DOCUME~1\Patrick\LOCALS~1\Temp\~DF25A3.tmp scheduled to be deleted

on reboot.

User's Temp folder emptied.

User's Temporary Internet Files folder emptied.

User's Internet Explorer cache folder emptied.

Local Service Temp folder emptied.

File delete failed. C:\Documents and Settings\LocalService\Local Settings\Temporary

Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.

Local Service Temporary Internet Files folder emptied.

File delete failed. C:\WINDOWS\temp\_avast4_\Webshlock.txt scheduled to be deleted on

reboot.

File delete failed. C:\WINDOWS\temp\Perflib_Perfdata_184.dat scheduled to be deleted on

reboot.

File delete failed. C:\WINDOWS\temp\Perflib_Perfdata_2f8.dat scheduled to be deleted on

reboot.

File delete failed. C:\WINDOWS\temp\Perflib_Perfdata_350.dat scheduled to be deleted on

reboot.

Windows Temp folder emptied.

Java cache emptied.

Temp folders emptied.

Explorer started successfully

OTMoveIt3 by OldTimer - Version 1.0.8.0 log created on 03102009_152222

Files moved on Reboot...

File C:\DOCUME~1\Patrick\LOCALS~1\Temp\JETAA0D.tmp not found!

C:\DOCUME~1\Patrick\LOCALS~1\Temp\WCESLog.log moved successfully.

C:\DOCUME~1\Patrick\LOCALS~1\Temp\~DF25A3.tmp moved successfully.

File move failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet

Files\Content.IE5\index.dat scheduled to be moved on reboot.

File move failed. C:\WINDOWS\temp\_avast4_\Webshlock.txt scheduled to be moved on reboot.

C:\WINDOWS\temp\Perflib_Perfdata_184.dat moved successfully.

C:\WINDOWS\temp\Perflib_Perfdata_2f8.dat moved successfully.

File C:\WINDOWS\temp\Perflib_Perfdata_350.dat not found!

Resultat du

http://www.virustotal.com/fr/

je fais un mail et je n'ai encore rien recu

okapimct · le 11 mars 2009

Bonjour, voici les rapports de chacunes des étapes tel que recommandées....

Merci de m'aider une fois de plus !

***RAPPORT Malwarebytes :

Malwarebytes' Anti-Malware 1.34

Version de la base de données: 1831

Windows 5.1.2600 Service Pack 2

11/03/2009 00:24:10

mbam-log-2009-03-11 (00-24-10).txt

Type de recherche: Examen complet (C:\|E:\|G:\|)

Eléments examinés: 112749

Temps écoulé: 3 hour(s), 0 minute(s), 53 second(s)

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 4

Valeur(s) du Registre infectée(s): 2

Elément(s) de données du Registre infecté(s): 1

Dossier(s) infecté(s): 1

Fichier(s) infecté(s): 1

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):

HKEY_CLASSES_ROOT\Interface\{831cbac4-8283-4653-9d81-feb9f3f6e47c} (Trojan.BHO) ->

Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\Typelib\{831cbac2-8283-4653-9d81-feb9f3f6e47c} (Trojan.BHO) ->

Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution

Options\avp.exe (Security.Hijack) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\fcn (Rogue.Residue) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\windows help center

(Trojan.Agent) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\cdoosoft

(Spyware.OnlineGames) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidde

n\SHOWALL\CheckedValue (Hijack.System.Hidden) -> Bad: (0) Good: (1) -> Quarantined and

deleted successfully.

Dossier(s) infecté(s):

C:\Program Files\ActivationManager (Trojan.MultiDefender) -> Quarantined and deleted

successfully.

Fichier(s) infecté(s):

C:\GenProc\outil\curl.exe (Trojan.Agent) -> Quarantined and deleted successfully.

***RAPPORT Scan en ligne BitDefender :

1er tentative

-------------

"BitDefender n'a pu mettre ç jour les définitions de virus.

Bien qu'il soit possible de rechercher des virus, les résultat sera probablement imprécis."

Vouslez-vous continuer l'analyse? "Oui"

Scan Failed!

Impossible d'analyser l'ordinateur contre les virus

Info su l'analyse

Fichiers: 0, Temps d'analyse: 00:00:00.

Fermer

2eme tentative

--------------

BitDefender Online Scanner

Rapport d'analyse généré à: Wed, Mar 11, 2009 - 03:19:05

Voie d'analyse: A:\;C:\;D:\;E:\;G:\;

Statistiques

Temps

02:08:12

Fichiers

38146

Directoires

4958

Secteurs de boot

0

Archives

972

Paquets programmes

2911

Résultats

Virus identifiés

1

Fichiers infectés

1

Fichiers suspects

0

Avertissements

0

Désinfectés

0

Fichiers effacés

1

Info sur les moteurs

Définition virus

2774720

Version des moteurs

AVCORE v1.7 (build 8314.19) (i386) (Sep 29 2008 17:19:14)

Analyse des plugins

17

Archive des plugins

45

Unpack des plugins

7

E-mail plugins

6

Système plugins

4

***RAPPORT EMAIL SCAN@VIRUSTOTAL.COM

----- Original Message -----

From: <scan@virustotal.com>

To: <okapimct@yahoo.fr>

Sent: Tuesday, March 10, 2009 5:00 PM

Subject: [bulk] [VirusTotal] Server notification

> Complete scanning result of "webcam-photos095.zip", processed in VirusTotal at 03/10/2009

17:00:14 (CET).

>

> [ file data ]

> * name..: webcam-photos095.zip

> * size..: 116362

> * md5...: 0faf475f9c5a2554f56063be5cbf880f

> * sha1..: 778f2da0eab6b9825bee3a88b380beb54411ca9a

> * peid..: -

>

> [ scan result ]

> a-squared 4.0.0.101/20090310 found [backdoor.Win32.IRCBot!IK]

> AhnLab-V3 5.0.0.2/20090310 found [Win32/ShadoBot.worm.116224]

> AntiVir 7.9.0.107/20090310 found [TR/Crypt.XPACK.Gen]

> Authentium 5.1.0.4/20090310 found [W32/Backdoor.BMHU]

> Avast 4.8.1335.0/20090309 found [Win32:IRCBot-CDT]

> AVG 8.0.0.237/20090310 found [backDoor.Ircbot.AXB]

> BitDefender 7.2/20090310 found [backdoor.IRCBot.ABEU]

> CAT-QuickHeal 10.00/20090310 found [backdoor.IRCBot.acd]

> ClamAV 0.94.1/20090310 found [Trojan.IRCBot-1132]

> Comodo 1043/20090310 found [backdoor.Win32.IRCBot.WO]

> DrWeb 4.44.0.09170/20090310 found [backDoor.IRC.Sdbot.1987]

> eSafe 7.0.17.0/20090309 found [Win32.IRCBot.acd]

> eTrust-Vet 31.6.6388/20090309 found [Win32/Checkout.J]

> F-Prot 4.4.4.56/20090309 found [W32/Backdoor.BMHU]

> F-Secure 8.0.14470.0/20090310 found [backdoor.Win32.IRCBot.acd]

> Fortinet 3.117.0.0/20090310 found [W32/IRCBot.ACD!tr.bdr]

> GData 19/20090310 found [backdoor.IRCBot.ABEU]

> Ikarus T3.1.1.45.0/20090310 found [backdoor.Win32.IRCBot]

> K7AntiVirus 7.10.665/20090310 found [backdoor.Win32.IRCBot.acd]

> Kaspersky 7.0.0.125/20090310 found [backdoor.Win32.IRCBot.acd]

> McAfee 5548/20090309 found [W32/Checkout]

> McAfee+Artemis 5548/20090309 found [W32/Checkout]

> Microsoft 1.4405/20090310 found [backdoor:Win32/IRCbot.OU]

> NOD32 3923/20090310 found [Win32/IRCBot.WO]

> Norman 6.00.06/20090310 found [W32/Ircbot.XIC]

> nProtect 2009.1.8.0/20090310 found nothing

> Panda 10.0.0.10/20090309 found [W32/Gaobot.OXI.worm]

> PCTools 4.4.2.0/20090310 found [Worm.IRCBot.BDP]

> Prevx1 V2/20090310 found [High Risk System Back Door]

> Rising 21.20.11.00/20090310 found [backdoor.Win32.IRCbot.bcr]

> SecureWeb-Gateway 6.7.6/20090310 found [Trojan.Crypt.XPACK.Gen]

> Sophos 4.39.0/20090310 found [W32/IRCBot-XG]

> Sunbelt 3.2.1858.2/20090310 found [Worm.Win32.IRCBot.Gen]

> Symantec 1.4.4.12/20090310 found [W32.Mubla.B]

> TheHacker 6.3.3.0.278/20090310 found [backdoor/IRCBot.acd]

> TrendMicro 8.700.0.1004/20090310 found [bKDR_IRCBOT.AGP]

> VBA32 3.12.10.1/20090310 found [backdoor.Win32.IRCBot.acd]

> ViRobot 2009.3.10.1643/20090310 found [backdoor.Win32.IRCBot.116224.C]

> VirusBuster 4.5.11.0/20090310 found [Worm.IRCBot.BDP]

>

> [ notes ]

> packers (Kaspersky): PE_Patch, NTKrnl

> Prevx info:

http://info.prevx.com/aboutprogramtext.asp...1C45600E660967F

***RAPPORT RSIT :

Logfile of random's system information tool 1.05 (written by random/random)

Run by Patrick at 2009-03-11 00:50:14

Microsoft Windows XP Professionnel Service Pack 2

System drive C: has 310 MB (3%) free of 10 GB

Total RAM: 382 MB (30% free)

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 00:50:56, on 11/03/2009

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

E:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

E:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Java\jre6\bin\jusched.exe

E:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Microsoft ActiveSync\wcescomm.exe

C:\Program Files\FolderSize\FolderSizeSvc.exe

C:\Program Files\Hotspot Shield\bin\openvpnas.exe

C:\PROGRA~1\MICROS~3\rapimgr.exe

C:\Program Files\Java\jre6\bin\jqs.exe

C:\Program Files\Orbitdownloader\orbitdm.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Steganos Internet Anonym VPN\SVPNStarter.exe

C:\Program Files\Orbitdownloader\orbitnet.exe

C:\WINDOWS\system32\SearchIndexer.exe

C:\WINDOWS\system32\wscntfy.exe

E:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

E:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Huawei technologies\Mobile Connect\Mobile Connect.exe

C:\Documents and Settings\Patrick\Bureau\RSIT.exe

C:\Program Files\trend micro\Patrick.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page =

http://fr.rd.yahoo.com/customize/ie/defaul...earch.yahoo.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.yahoo.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://fr.yahoo.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL =

http://fr.rd.yahoo.com/customize/ie/defaul...earch.yahoo.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page =

http://fr.rd.yahoo.com/customize/ie/defaul...earch.yahoo.com

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) =

http://fr.rd.yahoo.com/customize/ie/defaul...earch.yahoo.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Menara

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - Default URLSearchHook is missing

O2 - BHO: btorbit.com - {000123B4-9B42-4900-B3F7-F4B073EFC214} - C:\Program

Files\Orbitdownloader\orbitcth.dll

O2 - BHO: FDMIECookiesBHO Class - {CC59E0F9-7E43-44FA-9FAA-8377850BF205} - E:\Free Download

Manager\iefdm2.dll

O2 - BHO: Hotspot Shield Class - {F9E4A054-E9B1-4BC3-83A3-76A1AE736170} - C:\Program

Files\Hotspot Shield\hssie\HssIE.dll

O3 - Toolbar: Grab Pro - {C55BBCD6-41AD-48AD-9953-3609C48EACC7} - C:\Program

Files\Orbitdownloader\GrabPro.dll

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"

O4 - HKLM\..\Run: [avast!] E:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft

ActiveSync\wcescomm.exe"

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE

LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE

RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default

user')

O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe

Gamma Loader.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft

Office\Office10\OSA.EXE

O4 - Global Startup: Orbit.lnk = C:\Program Files\Orbitdownloader\orbitdm.exe

O8 - Extra context menu item: &Download by Orbit - res://C:\Program

Files\Orbitdownloader\orbitmxt.dll/201

O8 - Extra context menu item: &Grab video by Orbit - res://C:\Program

Files\Orbitdownloader\orbitmxt.dll/204

O8 - Extra context menu item: Do&wnload selected by Orbit - res://C:\Program

Files\Orbitdownloader\orbitmxt.dll/203

O8 - Extra context menu item: Down&load all by Orbit - res://C:\Program

Files\Orbitdownloader\orbitmxt.dll/202

O8 - Extra context menu item: E&xporter vers Microsoft Excel -

res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Tout télécharger avec Free Download Manager - file://E:\Free

Download Manager\dlall.htm

O8 - Extra context menu item: Télécharger avec Free Download Manager - file://E:\Free

Download Manager\dllink.htm

O8 - Extra context menu item: Télécharger la sélection avec Free Download Manager -

file://E:\Free Download Manager\dlselected.htm

O8 - Extra context menu item: Télécharger la vidéo avec Free Download Manager -

file://E:\Free Download Manager\dlfvideo.htm

O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} -

C:\PROGRA~1\MICROS~3\INetRepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} -

C:\PROGRA~1\MICROS~3\INetRepl.dll

O9 - Extra 'Tools' menuitem: Créer un favori mobile... -

{2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} -

C:\WINDOWS\bdoscandel.exe

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 -

{85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe

O16 - DPF: {238F6F83-B8B4-11CF-8771-00A024541EE3} (Citrix ICA Client) -

http://a516.g.akamai.net/f/516/25175/7d/ru...itrix/wficat-no

-eula.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) -

http://gfx2.hotmail.com/mail/w3/resources/MSNPUpld.cab

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) -

http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{C5E9D4FE-84CB-4146-A3B9-1AF7EDB17926}: NameServer

= 194.25.0.68 194.25.0.60

O17 - HKLM\System\CCS\Services\Tcpip\..\{DDB2ADDA-8A05-4D36-85A2-DFB22491ECC6}: NameServer

= 212.19.48.14

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} -

C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL

O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe

Systems Shared\Service\Adobelmsvc.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - E:\Program

Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - E:\Program Files\Alwil

Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - E:\Program Files\Alwil

Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - E:\Program Files\Alwil

Software\Avast4\ashWebSv.exe

O23 - Service: Folder Size (FolderSize) - Brio - C:\Program

Files\FolderSize\FolderSizeSvc.exe

O23 - Service: Hotspot Shield Service (HotspotShieldService) - Unknown owner - C:\Program

Files\Hotspot Shield\bin\openvpnas.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. -

C:\Program Files\Java\jre6\bin\jqs.exe

O23 - Service: Steganos VPN Starter Service (SVPNStarter) - Unknown owner - C:\Program

Files\Steganos Internet Anonym VPN\SVPNStarter.exe

--

End of file - 7537 bytes

======Scheduled tasks folder======

C:\WINDOWS\tasks\GoogleUpdateTaskUser.job

======Registry dump======

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper

Objects\{000123B4-9B42-4900-B3F7-F4B073EFC214}]

Octh Class - C:\Program Files\Orbitdownloader\orbitcth.dll [2009-02-20 134344]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper

Objects\{CC59E0F9-7E43-44FA-9FAA-8377850BF205}]

FDMIECookiesBHO Class - E:\Free Download Manager\iefdm2.dll [2009-03-02 98304]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper

Objects\{F9E4A054-E9B1-4BC3-83A3-76A1AE736170}]

Hotspot Shield Class - C:\Program Files\Hotspot Shield\hssie\HssIE.dll [2009-01-02 204248]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]

{C55BBCD6-41AD-48AD-9953-3609C48EACC7} - Grab Pro - C:\Program

Files\Orbitdownloader\GrabPro.dll [2009-02-20 646264]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

"SunJavaUpdateSched"=C:\Program Files\Java\jre6\bin\jusched.exe [2008-10-07 144792]

"avast!"=E:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe [2009-02-05 81000]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"=C:\WINDOWS\system32\ctfmon.exe [2004-08-20 15360]

"H/PC Connection Agent"=C:\Program Files\Microsoft ActiveSync\wcescomm.exe [2006-06-26

1211176]

C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage

Microsoft Office.lnk - C:\Program Files\Microsoft Office\Office10\OSA.EXE

Orbit.lnk - C:\Program Files\Orbitdownloader\orbitdm.exe

C:\Documents and Settings\Patrick\Menu Démarrer\Programmes\Démarrage

Adobe Gamma.lnk - C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma

Loader.exe

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WgaLogon]

WgaLogon.dll []

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]

WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} -

C:\WINDOWS\system32\WPDShServiceObj.dll [2006-10-18 133632]

UPnPMonitor - {e57ce738-33e8-4c51-8354-bb4de9d215d1} - C:\WINDOWS\system32\upnpui.dll

[2004-08-20 240128]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]

"{56F9679E-7826-4C84-81F3-532071A8BCC5}"=C:\Program Files\Windows Desktop

Search\MSNLNamespaceMgr.dll [2007-02-05 294400]

"{BB4C402F-882A-4526-8C08-51278EA437C1}"=C:\WINDOWS\system32\afmain0.dll []

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\nm]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\nm.sys]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\UploadMgr]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System]

"dontdisplaylastusername"=0

"legalnoticecaption"=

"legalnoticetext"=

"shutdownwithoutlogon"=1

"undockwithoutlogon"=1

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]

"NoDriveTypeAutoRun"=145

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolic

y\standardprofile\authorizedapplications\list]

"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-220

19"

"C:\Program Files\Microsoft ActiveSync\rapimgr.exe"="C:\Program Files\Microsoft

ActiveSync\rapimgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync RAPI Manager"

"C:\Program Files\Microsoft ActiveSync\wcescomm.exe"="C:\Program Files\Microsoft

ActiveSync\wcescomm.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Connection Manager"

"C:\Program Files\Microsoft ActiveSync\WCESMgr.exe"="C:\Program Files\Microsoft

ActiveSync\WCESMgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Application"

"C:\Program Files\eMule\emule.exe"="C:\Program Files\eMule\emule.exe:*:Enabled:eMule"

"C:\Program Files\Messenger\msmsgs.exe"="C:\Program

Files\Messenger\msmsgs.exe:*:Enabled:Windows Messenger"

"C:\Program Files\Windows Live\Messenger\msnmsgr.exe"="C:\Program Files\Windows

Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"

"C:\Program Files\Windows Live\Messenger\livecall.exe"="C:\Program Files\Windows

Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"

"C:\Program Files\HP\Digital Imaging\bin\hpqscnvw.exe"="C:\Program Files\HP\Digital

Imaging\bin\hpqscnvw.exe:*:Enabled:hpqscnvw.exe"

"C:\Program Files\HP\Digital Imaging\bin\hpqnrs08.exe"="C:\Program Files\HP\Digital

Imaging\bin\hpqnrs08.exe:*:Enabled:hpqnrs08.exe"

"C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe"="C:\Program

Files\Yahoo!\Messenger\YahooMessenger.exe:*:Enabled:Yahoo! Messenger"

"C:\Program Files\HP\Digital Imaging\bin\hposid01.exe"="C:\Program Files\HP\Digital

Imaging\bin\hposid01.exe:*:Enabled:hposid01.exe"

"C:\Program Files\HP\Digital Imaging\bin\hpiscnapp.exe"="C:\Program Files\HP\Digital

Imaging\bin\hpiscnapp.exe:*:Enabled:hpiscnapp.exe"

"C:\Program Files\HP\Digital Imaging\bin\hpqkygrp.exe"="C:\Program Files\HP\Digital

Imaging\bin\hpqkygrp.exe:*:Enabled:hpqkygrp.exe"

"C:\Program Files\FlashGet\flashget.exe"="C:\Program

Files\FlashGet\flashget.exe:*:Enabled:Flashget"

"C:\Program Files\Proxy Switcher Lite\ProxySwitcher.exe"="C:\Program Files\Proxy Switcher

Lite\ProxySwitcher.exe:*:Enabled:Proxy Switcher"

"C:\Program Files\Orbitdownloader\orbitdm.exe"="C:\Program

Files\Orbitdownloader\orbitdm.exe:*:Enabled:Orbit"

"C:\Program Files\Orbitdownloader\orbitnet.exe"="C:\Program

Files\Orbitdownloader\orbitnet.exe:*:Enabled:Orbit"

"C:\Program Files\Internet Explorer\iexplore.exe"="C:\Program Files\Internet

Explorer\iexplore.exe:*:Enabled:Internet Explorer"

"C:\Program Files\Skype\Phone\Skype.exe"="C:\Program

Files\Skype\Phone\Skype.exe:*:Enabled:Skype. Take a deep breath "

"C:\WINDOWS\ServicePackFiles\i386\iexplore.exe"="C:\WINDOWS\ServicePackFiles\i386\iexplore.

exe:*:Enabled:Internet Explorer"

"E:\Free Download Manager\fdm.exe"="E:\Free Download Manager\fdm.exe:*:Enabled:Free

Download Manager"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolic

y\domainprofile\authorizedapplications\list]