[Résolu] Je me suis prise un Virus > Internet antivirus Pro....Peut

sarahb · le 9 avril 2009

Bonjour,

Merci d'exister, je viens de découvrir ce site!

Hier suite à un fonctionnement chaotique de mon pc, je me dis ya un virus, jusque là ca va. En fouillant je suis tombé sur Antivirus pro qui m'a fait passé une sale journée. Je l'ai viré en mode sans échec, mais j'avais toujours une fenetre qui s'activait en me disant attention votre pc est virulé. Ce matin il a réapparu dans ma barre de tache rapide et ds les fichiers c://windows/prefetch et ds c://proframes file/common files..., je l'ai viré mais bon le pc fonctionne toujours bizarrement. J'ai copié le fichier généré par hijack this en dessous , vous pouvez m'aider svp!

Logfile of HijackThis v1.99.1

Scan saved at 14:32:52, on 09/04/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16791)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Intel\Wireless\Bin\EvtEng.exe

C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe

C:\Program Files\Intel\Wireless\Bin\WLKeeper.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe

C:\Program Files\Bonjour\mDNSResponder.exe

C:\WINDOWS\system32\crypserv.exe

C:\PROGRA~1\AVG\AVG8\avgrsx.exe

C:\PROGRA~1\AVG\AVG8\avgnsx.exe

C:\WINDOWS\system32\hasplms.exe

C:\WINDOWS\Explorer.EXE

C:\Documents and Settings\JPR\Local Settings\Application Data\Microsoft\Windows\services.exe

C:\Program Files\Dell\QuickSet\NICCONFIGSVC.exe

C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe

c:\Program Files\Microsoft SQL Server\90\Shared\sqlwriter.exe

C:\Program Files\Medipattern\B-CAD\Server\Release\ClearCanvas.ImageServer.ShredHostService.exe

C:\Program Files\Medipattern\B-CAD\Server\Release\SocoService.exe

C:\PROGRA~1\AVG\AVG8\avgemc.exe

C:\Program Files\AVG\AVG8\avgcsrvx.exe

C:\Program Files\Apoint\Apoint.exe

C:\Program Files\Apoint\HidFind.exe

C:\Program Files\Apoint\Apntex.exe

C:\WINDOWS\system32\hkcmd.exe

C:\WINDOWS\system32\igfxpers.exe

C:\WINDOWS\system32\igfxsrvc.exe

C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe

C:\WINDOWS\stsystra.exe

C:\Program Files\CyberLink\PowerDVD\DVDLauncher.exe

C:\Program Files\Dell\QuickSet\quickset.exe

C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe

C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe

C:\WINDOWS\System32\DLA\DLACTRLW.EXE

C:\Program Files\Fichiers communs\InstallShield\UpdateService\issch.exe

C:\PROGRA~1\AVG\AVG8\avgtray.exe

C:\windows\pp06.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe

C:\Documents and Settings\JPR\Application Data\Microsoft\Windows\winlogon.exe

C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexStoreSvr.exe

C:\WINDOWS\System32\svchost.exe

C:\PROGRA~1\Intel\Wireless\Bin\Dot1XCfg.exe

C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexingService.exe

C:\Program Files\ESTsoft\ALUpdate\Alupdate.exe

C:\Program Files\ESTsoft\Common\ALBNCollector.exe

C:\Program Files\ESTsoft\ALZip\ALZip.exe

C:\Documents and Settings\JPR\Local Settings\Temp\_AZTMP0_\Exec\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = www.google.fr/ig/dell?hl=fr&client=dell-row-rel&channel=fr&ibd=5070103

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr/hws/sb/dell-row-rel/f...html?channel=fr

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.fr/hws/sb/dell-row-rel/f...html?channel=fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.fr/ig/dell?hl=fr&client=dell-row-rel&channel=fr&ibd=5070103

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Search,Default_Page_URL = www.google.fr/ig/dell?hl=fr&client=dell-row-rel&channel=fr&ibd=5070103

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://configuration.adsl/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG8\avgssie.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\System32\DLA\DLASHX_W.DLL

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O2 - BHO: Browser Address Error Redirector - {CA6319C0-31B7-401E-A518-A07C3DB8F777} - C:\Program Files\BAE\BAE.dll

O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint\Apoint.exe

O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"

O4 - HKLM\..\Run: [sigmatelSysTrayApp] stsystra.exe

O4 - HKLM\..\Run: [DVDLauncher] "C:\Program Files\CyberLink\PowerDVD\DVDLauncher.exe"

O4 - HKLM\..\Run: [Dell QuickSet] C:\Program Files\Dell\QuickSet\quickset.exe

O4 - HKLM\..\Run: [intelZeroConfig] "C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe"

O4 - HKLM\..\Run: [intelWireless] "C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless

O4 - HKLM\..\Run: [DLA] C:\WINDOWS\System32\DLA\DLACTRLW.EXE

O4 - HKLM\..\Run: [iSUSPM Startup] C:\PROGRA~1\FICHIE~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup

O4 - HKLM\..\Run: [iSUSScheduler] "C:\Program Files\Fichiers communs\InstallShield\UpdateService\issch.exe" -start

O4 - HKLM\..\Run: [Adobe_ID0EYTHM] C:\PROGRA~1\FICHIE~1\Adobe\ADOBEV~1\Server\bin\VERSIO~2.EXE

O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Fichiers communs\Ahead\Lib\NeroCheck.exe

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe

O4 - HKLM\..\Run: [pp] C:\windows\pp06.exe

O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKCU\..\Run: [bgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe"

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [Microsoft Windows logon process] C:\Documents and Settings\JPR\Application Data\Microsoft\Windows\winlogon.exe

O4 - HKCU\..\Run: [internet Antivirus Pro] "c:\program files\Internet Antivirus Pro\IAPro.exe" /s

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: c:\program files\bonjour\mdnsnsp.dll

O11 - Options group: [iNTERNATIONAL] International*

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftu...b?1193390215718

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111...all/xscan53.cab

O16 - DPF: {B0A2C7FC-8666-44D6-A990-2FCE3B933341} (ING Bank Autorisatiescherm) - https://secure.ingbank.nl/download/DigiSign.cab

O16 - DPF: {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} (get_atlcom Class) - http://www.adobe.com/products/acrobat/nos/gp.cab

O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG8\avgpp.dll

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files\Fichiers communs\Microsoft Shared\Help\hxds.dll

O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\PROGRA~1\FICHIE~1\MICROS~1\OFFICE12\MSOXMLMF.DLL

O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll

O20 - Winlogon Notify: dimsntfy - %SystemRoot%\System32\dimsntfy.dll (file missing)

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: Adobe Version Cue CS3 - Unknown owner - C:\Program Files\Fichiers communs\Adobe\Adobe Version Cue CS3\Server\bin\VersionCueCS3.exe" -win32service (file missing)

O23 - Service: AVG Free8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgemc.exe

O23 - Service: AVG Free8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe

O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe

O23 - Service: Crypkey License - CrypKey (Canada) Ltd. - C:\WINDOWS\SYSTEM32\crypserv.exe

O23 - Service: Intel® PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: HASP License Manager (hasplms) - Aladdin Knowledge Systems Ltd. - C:\WINDOWS\system32\hasplms.exe

O23 - Service: Guard Service (ITGrdEngine) - Unknown owner - C:\Documents and Settings\JPR\Local Settings\Application Data\Microsoft\Windows\services.exe

O23 - Service: SQL Server (SQLEXPRESS) (MSSQL$SQLEXPRESS) - Unknown owner - c:\Program Files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe" -sSQLEXPRESS (file missing)

O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe

O23 - Service: NICCONFIGSVC - Dell Inc. - C:\Program Files\Dell\QuickSet\NICCONFIGSVC.exe

O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexingService.exe

O23 - Service: Intel® PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe

O23 - Service: Intel® PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe

O23 - Service: NTRU Hybrid TSS v2.0.25 TCS (tcsd_win32.exe) - Unknown owner - C:\Program Files\NTRU Cryptosystems\NTRU Hybrid TSS v2.0.25\bin\tcsd_win32.exe

O23 - Service: B-CAD's ClearCanvas Image Server Shred Host Service (TMCClearCanvasServer) - Unknown owner - C:\Program Files\Medipattern\B-CAD\Server\Release\ClearCanvas.ImageServer.ShredHostService.exe

O23 - Service: B-CAD Socket Service (TMCSocketServer) - The Medipattern Corporation - C:\Program Files\Medipattern\B-CAD\Server\Release\SocoService.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

O23 - Service: Intel® PROSet/Wireless SSO Service (WLANKEEPER) - Intel® Corporation - C:\Program Files\Intel\Wireless\Bin\WLKeeper.exe

Modifié le 15 avril 2009 par sarahb

angelique · le 9 avril 2009

t'as du chopper ces merdes sur facebook ou myspace....

HijackThis est mal plaçé!

• creer un nouveau dossier en c:\ nommé HJT

telecharger HijackThis.exe dans ce nouveau dossier crée::

http://www.trendsecure.com/portal/en-US/_d.../HiJackThis.exe

lDouble-clique dessus . Accepte la licence qui va apparaître par "I agree" .

Puis clique sur "Do a system scan only" , coche uniquement les lignes ci dessous et clic Fixchecked:

O4 - HKLM\..\Run: [pp] C:\windows\pp06.exe

O4 - HKCU\..\Run: [Microsoft Windows logon process] C:\Documents and Settings\JPR\Application Data\Microsoft\Windows\winlogon.exe

O4 - HKCU\..\Run: [internet Antivirus Pro] "c:\program files\Internet Antivirus Pro\IAPro.exe" /s

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

==> clic Fixchecked

• (¯`·._.·[ ..... ]·._.·´¯)

» Télécharge combofix.exe (par sUBs) » renomme le dans la fenetre de telechargement par COlaF , et sauvegarde le sur ton bureau , pas ailleurs!!!!!

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

http://www.forospyware.com/sUBs/ComboFix.exe

http://subs.geekstogo.com/ComboFix.exe

http://imagesup.org/images/1238940640-cfdl.jpg

http://imagesup.org/images/1238940687-cfren.jpg

Les Antivirus couinent sur ComboFix (Nircmd ....), faut autoriser ou désactiver temporairement son AV , ainsi que la demande d'access à la zone sure si le firewall couine , il faut autoriser \o/

* Double-clique combofix.exe(COlaF), accepte le CluF qui s'affiche, afin de l'exécuter et suis les instructions.

* Lorsque l'analyse sera complétée, un rapport apparaîtra que tu me posteras.

* Si le fichier n'apparait pas, il se trouve ici > C:\ComboFix.txt

tuto:: Un guide et un tutoriel sur l'utilisation de ComboFix:

http://www.bleepingcomputer.com/combofix/f...iliser-combofix

(¯`·._.·[ ..... ]·._.·´¯)

sarahb · le 9 avril 2009

Même pas !

Merci pour ton aide!

Voici le fichier log,

ComboFix 09-04-04.01 - JPR 2009-04-09 16:03:40.1 - NTFSx86

Microsoft Windows XP Professionnel 5.1.2600.3.1252.1.1036.18.1014.429 [GMT 2:00]

Lancé depuis: c:\documents and settings\JPR\Bureau\COlaF.exe

AV: AVG Anti-Virus Free *On-access scanning enabled* (Updated)

FW: ZoneAlarm Firewall *disabled*

* Un nouveau point de restauration a été créé

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\documents and settings\JPR\Application Data\Internet Antivirus Pro

c:\documents and settings\JPR\Application Data\Internet Antivirus Pro\db\config.cfg

c:\documents and settings\JPR\Application Data\Internet Antivirus Pro\db\Timeout.inf

c:\documents and settings\JPR\Application Data\Internet Antivirus Pro\db\Urls.inf

c:\documents and settings\JPR\Application Data\Internet Antivirus Pro\settings.ini

c:\documents and settings\JPR\Application Data\Internet Antivirus Pro\uill.ini

c:\documents and settings\JPR\Application Data\Internet Antivirus Pro\unins000.exe

c:\documents and settings\JPR\Application Data\Internet Antivirus Pro\Uninstall Internet Antivirus Pro.lnk

c:\documents and settings\JPR\Application Data\Microsoft\Windows\winlogon.exe

c:\windows\patch.exe

c:\windows\pp06.exe

.

((((((((((((((((((((((((((((( Fichiers créés du 2009-03-09 au 2009-04-09 ))))))))))))))))))))))))))))))))))))

.

2009-04-09 15:52 . 2009-04-09 15:56 <REP> d-------- C:\HJT

2009-04-08 18:11 . 2009-04-08 18:11 <REP> d-------- c:\documents and settings\All Users\Application Data\Estsoft

2009-04-08 18:10 . 2009-04-08 18:10 <REP> d-------- c:\program files\ESTsoft

2009-04-08 18:10 . 2009-04-08 18:11 <REP> d-------- c:\documents and settings\JPR\Application Data\ESTsoft

2009-04-08 17:30 . 2009-04-09 16:06 452,640 --ahs---- c:\windows\system32\drivers\fidbox.dat

2009-04-08 17:30 . 2009-04-09 15:08 4,460 --ahs---- c:\windows\system32\drivers\fidbox.idx

2009-04-08 17:03 . 2009-04-08 17:03 <REP> d-------- c:\documents and settings\All Users\Application Data\MailFrontier

2009-04-08 17:03 . 2009-04-08 17:27 4,212 ---h----- c:\windows\system32\zllictbl.dat

2009-04-08 17:02 . 2008-07-09 09:05 75,248 --a------ c:\windows\zllsputility.exe

2009-04-08 17:02 . 2008-07-09 09:05 54,672 --a------ c:\windows\system32\vsutil_loc040c.dll

2009-04-08 17:02 . 2008-07-09 09:05 42,384 --a------ c:\windows\zllsputility_loc040c.dll

2009-04-08 17:02 . 2008-07-09 09:05 21,904 --a------ c:\windows\system32\imsinstall_loc040c.dll

2009-04-08 17:02 . 2008-07-09 09:05 17,808 --a------ c:\windows\system32\imslsp_install_loc040c.dll

2009-04-08 17:02 . 2004-04-27 04:40 11,264 --a------ c:\windows\system32\SpOrder.dll

2009-04-08 17:01 . 2009-04-08 17:02 <REP> d-------- c:\windows\system32\ZoneLabs

2009-04-08 17:01 . 2009-04-08 17:01 <REP> d-------- c:\program files\Zone Labs

2009-04-08 17:01 . 2008-07-09 09:05 1,086,952 --a------ c:\windows\system32\zpeng24.dll

2009-04-08 17:01 . 2009-04-09 15:11 358,382 --a------ c:\windows\system32\vsconfig.xml

2009-04-08 16:54 . 2009-04-09 14:13 <REP> d-------- c:\windows\Internet Logs

2009-04-08 16:18 . 2009-04-08 16:18 <REP> d-------- c:\windows\AU_Temp

2009-04-08 15:57 . 2009-04-08 15:57 <REP> d-------- c:\windows\AU_Log

2009-04-08 15:57 . 2009-04-08 15:57 507,904 --a------ c:\windows\TMUPDATE.DLL

2009-04-08 15:57 . 2009-04-08 15:57 69,689 --a------ c:\windows\UNZIP.DLL

2009-04-08 15:57 . 2009-04-08 15:57 170 --a------ c:\windows\GetServer.ini

2009-04-08 15:15 . 2009-04-09 15:03 <REP> d-------- c:\program files\Common Files

2009-04-08 14:28 . 2009-04-08 14:25 102,664 --a------ c:\windows\system32\drivers\tmcomm.sys

2009-04-08 14:24 . 2009-04-08 14:33 <REP> d-------- c:\documents and settings\JPR\.housecall6.6

2009-04-08 14:12 . 2009-04-08 14:12 <REP> d-------- c:\documents and settings\JPR\Application Data\VirusRemover2009

2009-04-08 09:29 . 2009-04-08 09:29 1 --a------ c:\windows\9g2234wesdf3dfgjf23

2009-04-08 09:28 . 2009-04-08 09:28 2 ---h----- c:\windows\t55ft2829f44.dat

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-04-08 14:45 --------- d-----w c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy

2009-04-02 12:38 --------- d-----w c:\documents and settings\JPR\Application Data\U3

2009-03-19 07:19 --------- d-----w c:\documents and settings\All Users\Application Data\Microsoft Help

2009-02-17 02:03 --------- d-----w c:\program files\Microsoft SQL Server

2009-02-16 18:37 --------- d-----w c:\program files\Webtarot

2009-02-09 14:05 1,846,912 ----a-w c:\windows\system32\win32k.sys

2009-02-09 14:05 1,846,912 ------w c:\windows\system32\dllcache\win32k.sys

2009-02-04 07:55 10,520 ----a-w c:\windows\system32\avgrsstx.dll

2009-01-16 20:15 3,594,752 ------w c:\windows\system32\dllcache\mshtml.dll

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\program files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe" [2006-12-23 143360]

"MSMSGS"="c:\program files\Messenger\msmsgs.exe" [2008-04-14 1695232]

"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Apoint"="c:\program files\Apoint\Apoint.exe" [2005-10-07 176128]

"igfxtray"="c:\windows\system32\igfxtray.exe" [2005-12-13 98304]

"igfxhkcmd"="c:\windows\system32\hkcmd.exe" [2005-12-13 77824]

"igfxpers"="c:\windows\system32\igfxpers.exe" [2005-12-13 118784]

"SunJavaUpdateSched"="c:\program files\Java\jre1.6.0_03\bin\jusched.exe" [2007-09-25 132496]

"DVDLauncher"="c:\program files\CyberLink\PowerDVD\DVDLauncher.exe" [2005-12-09 49152]

"Dell QuickSet"="c:\program files\Dell\QuickSet\quickset.exe" [2006-06-29 1032192]

"IntelZeroConfig"="c:\program files\Intel\Wireless\bin\ZCfgSvc.exe" [2005-12-28 667718]

"IntelWireless"="c:\program files\Intel\Wireless\Bin\ifrmewrk.exe" [2005-12-28 602182]

"DLA"="c:\windows\System32\DLA\DLACTRLW.EXE" [2005-09-08 122940]

"ISUSPM Startup"="c:\progra~1\FICHIE~1\INSTAL~1\UPDATE~1\ISUSPM.exe" [2004-07-27 221184]

"ISUSScheduler"="c:\program files\Fichiers communs\InstallShield\UpdateService\issch.exe" [2004-07-27 81920]

"Adobe_ID0EYTHM"="c:\progra~1\FICHIE~1\Adobe\ADOBEV~1\Server\bin\VERSIO~2.EXE" [2007-03-20 1884160]

"NeroFilterCheck"="c:\program files\Fichiers communs\Ahead\Lib\NeroCheck.exe" [2006-01-12 155648]

"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 39792]

"AVG8_TRAY"="c:\progra~1\AVG\AVG8\avgtray.exe" [2009-02-04 1601304]

"ZoneAlarm Client"="c:\program files\Zone Labs\ZoneAlarm\zlclient.exe" [2008-07-09 919016]

"SigmatelSysTrayApp"="stsystra.exe" [2006-03-24 c:\windows\stsystra.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

"DWQueuedReporting"="c:\progra~1\FICHIE~1\MICROS~1\DW\dwtrig20.exe" [2007-08-24 437160]

[HKEY_CURRENT_USER\software\microsoft\windows\Currentversion\policies\explorer\Run]

"ororbyor"="c:\windows\$hf_mig$\KB899591\update\ororbyor.exe" [2009-04-08 61952]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\avgrsstarter]

2009-02-04 09:55 10520 c:\windows\system32\avgrsstx.dll

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall]

"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\Program Files\\Webtarot\\webtarot.exe"=

"c:\\WINDOWS\\system32\\sessmgr.exe"=

"c:\\Program Files\\AVG\\AVG8\\avgemc.exe"=

"c:\\Program Files\\AVG\\AVG8\\avgupd.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"104:TCP"= 104:TCP:B-CAD DICOM Server

"104:UDP"= 104:UDP:B-CAD DICOM Server

"16645:TCP"= 16645:TCP:B-CAD Server

"16645:UDP"= 16645:UDP:B-CAD Server

"1947:TCP"= 1947:TCP:HASP SRM

"1947:UDP"= 1947:UDP:HASP SRM

R1 AvgLdx86;AVG Free AVI Loader Driver x86;c:\windows\system32\drivers\avgldx86.sys [2009-01-16 325128]

R1 AvgTdiX;AVG Free8 Network Redirector;c:\windows\system32\drivers\avgtdix.sys [2009-01-16 107272]

R2 avg8emc;AVG Free8 E-mail Scanner;c:\progra~1\AVG\AVG8\avgemc.exe [2009-01-16 903960]

R2 avg8wd;AVG Free8 WatchDog;c:\progra~1\AVG\AVG8\avgwdsvc.exe [2009-01-16 298264]

R2 hasplms;HASP License Manager;c:\windows\system32\hasplms.exe -run --> c:\windows\system32\hasplms.exe -run [?]

R2 ITGrdEngine;Guard Service;c:\documents and settings\JPR\Local Settings\Application Data\Microsoft\Windows\services.exe [2009-04-08 193536]

R2 TMCClearCanvasServer;B-CAD's ClearCanvas Image Server Shred Host Service;c:\program files\Medipattern\B-CAD\Server\Release\ClearCanvas.ImageServer.ShredHostService.exe -service --> c:\program files\Medipattern\B-CAD\Server\Release\ClearCanvas.ImageServer.ShredHostService.exe -service [?]

R2 TMCSocketServer;B-CAD Socket Service;c:\program files\Medipattern\B-CAD\Server\Release\SocoService.exe -service --> c:\program files\Medipattern\B-CAD\Server\Release\SocoService.exe -service [?]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\E]

\Shell\AutoRun\command - E:\LaunchU3.exe -a

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{3a0423ec-7fdb-11dc-a3a3-0018dee2603e}]

\Shell\AutoRun\command - E:\LaunchU3.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{dbe9d3bc-1f82-11de-9501-0018dee2603e}]

\Shell\AutoRun\command - E:\LaunchU3.exe -a

.

------- Examen supplémentaire -------

.

uStart Page = www.google.fr/ig/dell?hl=fr&client=dell-row-rel&channel=fr&ibd=5070103

uInternet Connection Wizard,ShellNext = hxxp://configuration.adsl/

IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~3\Office12\EXCEL.EXE/3000

DPF: {B0A2C7FC-8666-44D6-A990-2FCE3B933341} - hxxps://secure.ingbank.nl/download/DigiSign.cab

.

**************************************************************************

catchme 0.3.1375 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-04-09 16:06:10

Windows 5.1.2600 Service Pack 3 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès

Fichiers cachés: 0

**************************************************************************

.

Heure de fin: 2009-04-09 16:08:04

ComboFix-quarantined-files.txt 2009-04-09 14:08:00

Avant-CF: 54 247 936 000 octets libres

Après-CF: 54,604,894,208 octets libres

WindowsXP-KB310994-SP2-Pro-BootDisk-FRA.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(2)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

multi(0)disk(0)rdisk(0)partition(2)\WINDOWS="Microsoft Windows XP Professionnel" /noexecute=optin /fastdetect

161 --- E O F --- 2009-04-08 16:38:53

angelique · le 9 avril 2009

• ouvre ton bloc note[executer--notepad] et copies/colles le contenu du cadre ci dessous:

File::
c:\windows\9g2234wesdf3dfgjf23
c:\windows\t55ft2829f44.dat
Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall]
"DisableMonitoring"=dword:00000000
[HKEY_CURRENT_USER\software\microsoft\windows\Currentversion\policies\explorer\Run]
"ororbyor"=-
SkipFix::

[*]Va en haut de la page et clique sur le menu"Fichier" , une liste apparait=>

[*]Choisis "Enregistrer sous" et choisis "Bureau"

[*]Dans le champs "Nom du fichier" en bas de page donne le nom suivant:CFScript

[*]Clique sur le bouton "Enregistrer" à droite du champs "nom du fichier"

[*]Quitte le Bloc Notes.

[*]Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture

* suis les instructions

* Patiente le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!

Ne touche à rien tant que le scan n'est pas terminé.

* Une fois le scan achevé, un rapport va s'afficher: poste son contenu.

* Si le fichier n'apparait pas, il se trouve ici > C:\ComboFix.txt

•Ouvre le poste de travail

Clic sur le menu outils en haut à droite puis options des dossiers

Dans la nouvelle fenêtre, clic sur l'onglet Affichage en haut

Coche dans la liste "Afficher les fichiers cachés"

Décoche "masquer les fichier proteger du systeme d exploitation (recommandée)"\appliquer

Tu vas recevoir un message qui te dit que cela peut endommager le système, n'en tiens pas compte.

Vas sur le site http://virusscan.jotti.org/

Clique en haut à droite sur "Parcourir", navigue dans les dossiers et sélectionne ce fichier : c:\windows\$hf_mig$\KB899591\update\ororbyor.exe
Clique sur submit toujours en haut à droite
Le scan va se lancer, ça va prendre un petit instant
A la fin du scan, un rapport va apparaître : Copie/Colle le résultat complet du scan dans un fichier texte
Poste ce fichier dans ta prochaine réponse

ATTENTION de bien prendre le résultat du scan de ton fichier (le nom du fichier apparaît en haut) et non le scan fait avant le tiens!

Aide : http://www.malekal.com/scan_Av_en_ligne.html#mozTocId662799

sarahb · le 9 avril 2009

Combofix s'arrête dès le départ en me disant que le nom "CFScript" ne passe pas!!

sarahb · le 9 avril 2009

Voici le fichier log de combofix:

ComboFix 09-04-04.01 - JPR 2009-04-09 17:07:40.2 - NTFSx86

Microsoft Windows XP Professionnel 5.1.2600.3.1252.1.1036.18.1014.389 [GMT 2:00]

Lancé depuis: c:\documents and settings\JPR\Bureau\ComboFix.exe

Commutateurs utilisés :: c:\documents and settings\JPR\Bureau\CFScript.txt

AV: AVG Anti-Virus Free *On-access scanning enabled* (Updated)

FW: ZoneAlarm Firewall *disabled*

* Un nouveau point de restauration a été créé

.

- Mode FONCTIONNALITES REDUITES -

FILE ::

c:\windows\9g2234wesdf3dfgjf23

c:\windows\t55ft2829f44.dat

.