Pc infecté par "TR/Rootkit.Gen"

Duck Psycho Sexy · le 13 septembre 2009

Bonjour à tous,

Depuis hier à chaque démarrage de mon ordinateur, avira antivir affiche ce message

"Dans le fichier 'C:\WINDOWS\system32\dllcache\figaro.sys'

un virus ou un programme indésirable 'TR/Rootkit.Gen' [trojan] a été détecté."

J'ai effectué les procédures basique de nettoyage décrites sur ce forum mais sans succès.

J'en viens à vous donc à faire appel à votre précieuse aide...

Voici donc mon log hijackthis :

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 13:48:51, on 13/09/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir Desktop\sched.exe

C:\Program Files\Avira\AntiVir Desktop\avguard.exe

C:\WINDOWS\eHome\ehRecvr.exe

C:\WINDOWS\eHome\ehSched.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\Program Files\Intel\Intel Matrix Storage Manager\Iaantmon.exe

C:\Program Files\Java\jre6\bin\jqs.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Intel\IntelDH\Intel® Quick Resume Technology\ELService.exe

C:\WINDOWS\system32\dllhost.exe

C:\WINDOWS\ehome\ehtray.exe

C:\WINDOWS\eHome\ehmsas.exe

C:\Program Files\Intel\Intel Matrix Storage Manager\Iaanotif.exe

C:\WINDOWS\RTHDCPL.EXE

C:\WINDOWS\system32\rundll32.exe

C:\Program Files\Avira\AntiVir Desktop\avgnt.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Documents and Settings\Jean-Mouloud\sys32_nov.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

C:\WINDOWS\System32\svchost.exe

c:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\msiexec.exe

C:\HP\KBD\KBD.EXE

c:\windows\system\hpsysdrv.exe

C:\Program Files\Java\jre1.5.0_05\bin\jusched.exe

C:\Program Files\Java\jre1.5.0_05\bin\jucheck.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\HijackThis\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.01net.com/telecharger/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O3 - Toolbar: PDFCreator Toolbar - {31CF9EBE-5755-4A1D-AC25-2834D952D9B4} - C:\Program Files\PDFCreator Toolbar\v3.3.0.1\PDFCreator_Toolbar.dll

O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe

O4 - HKLM\..\Run: [ftutil2] rundll32.exe ftutil2.dll,SetWriteCacheMode

O4 - HKLM\..\Run: [iAAnotif] C:\Program Files\Intel\Intel Matrix Storage Manager\Iaanotif.exe

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [HPHUPD08] c:\Program Files\HP\Digital Imaging\{33D6CC28-9F75-4d1b-A11D-98895B3A3729}\hphupd08.exe

O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXE

O4 - HKLM\..\Run: [HPBootOp] "C:\Program Files\Hewlett-Packard\HP Boot Optimizer\HPBootOp.exe" /run

O4 - HKLM\..\Run: [bluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [sys32_nov] C:\WINDOWS\system32\sys32_nov.exe

O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32\regedit.exe

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [Google Update] "C:\Documents and Settings\Jean-Mouloud\Local Settings\Application Data\Google\Update\GoogleUpdate.exe" /c

O4 - HKCU\..\Run: [EPSON SX100 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIEDE.EXE /FU "C:\WINDOWS\TEMP\E_S14A.tmp" /EF "HKCU"

O4 - HKCU\..\Run: [sys32_nov] C:\Documents and Settings\Jean-Mouloud\sys32_nov.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - .DEFAULT User Startup: Pin.lnk = C:\hp\bin\CLOAKER.EXE (User 'Default user')

O4 - Startup: ikowin32.exe

O4 - Startup: Pin.lnk = C:\hp\bin\CLOAKER.EXE

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O9 - Extra button: Aide à la connexion - {E2D4D26B-0180-43a4-B05F-462D6D54C789} - C:\WINDOWS\PCHEALTH\HELPCTR\Vendors\CN=Hewlett-Packard,L=Cupertino,S=Ca,C=US\IEButton\support.htm

O9 - Extra 'Tools' menuitem: Aide à la connexion - {E2D4D26B-0180-43a4-B05F-462D6D54C789} - C:\WINDOWS\PCHEALTH\HELPCTR\Vendors\CN=Hewlett-Packard,L=Cupertino,S=Ca,C=US\IEButton\support.htm

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O20 - AppInit_DLLs: cru629.dat

O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Intel® Quick Resume Technology Drivers (ELService) - Intel Corporation - C:\Program Files\Intel\IntelDH\Intel® Quick Resume Technology\ELService.exe

O23 - Service: Google Update Service (gupdate1c9d461dcf5c8c2) (gupdate1c9d461dcf5c8c2) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe

O23 - Service: Google Software Updater (gusvc) - Unknown owner - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe (file missing)

O23 - Service: Intel® Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\Iaantmon.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

--

End of file - 6908 bytes

Merci énormément de l'aide que vous pourrez m'apporter!

pear · le 13 septembre 2009

Bonjour,

Vous allez télécharger Combofix.

Ce logiciel est très puissant et ne doit pas être utilisé sans une aide compétente sous peine de risquer des dommages irréversibles.

Veuillez noter que ce logiciel est régulièrement mis à jour et que la version que vous allez charger sera obsolète dans quelques jours.

Avant de l'installer,vous pourriez utilement lire ce

,Mode opératoire:

Télécharger combofix.exe de sUBs

Vous devriez avoir une fenêtre vous avertissant que vous téléchargez Combofix depuis un site non-autorisé.

N'en tenez pas compte

Lancez Combofix en double cliquant

Tout d'abord, Combofix vérifie si la Console de récupération est installée et vous propose de le faire dans le cas contraire.

Certaines infections comme braviax empêcheront son installation.

Les utilisateurs de Windows Vista peuvent utiliser leur CD Windows pour démarrer en mode Vista Recovery Environment (Environnement de réparation Vista)

La Console de récupération Windows vous permettra de démarrer dans un mode spécial de récupération (réparation).

Elle peut être nécessaire si votre ordinateur rencontre un problème après une tentative de nettoyage.

C'est une procédure simple, qui ne vous prendra que peu de temps et pourra peut-être un jour vous sauver la mis

Certaines infections (Rootkit en Mbr)ne peuvent être traitées qu'en utilisant la Console de Récupération,

D'importantes procédures que Combofix est susceptible de lancer ne fonctionneront qu'à la condition que la console de récupération(Sous Xp) soit installée

C'est pourquoi il vous est vivement conseillé d' installer d'abord la Console de Récupération sur le pc .

Cela permettra de réparer le système au cas ou le pc ne redémarrerait plus suite à la désinfection.

* Après avoir cliqué sur le lien correspondant à votre version de Windows, vous serez dirigé sur une page:

cliquez sur le bouton Télécharger afin de récupérer le package d'installation sur leBureau:

Ne modifiez pas le nom du fichier

Windows XP Service Pack 2 (SP2) > Microsoft Windows XP Professionnel SP2

* Faites un glisser/déposer de ce fichier sur le fichier ComboFix.exe

* Suivre les indications à l'écran pour lancer ComboFix et lorsqu'on le demande, accepter le Contrat de Licence d'Utilisateur Final pour installer la Console de Récupération Microsoft.

Après installation,vous devriez voir ce message:

The Recovery Console was successfully installed.

Fermez ou désactivez tous les programmes Antivirus, Antispyware, Pare-feu actifs ,Teatimer de Spybot car ils pourraient perturber le fonctionnement de cet outil

* Pour cela, faites un clic droit sur l'icône de l'antivirus en bas à droite à côté de l'horloge puis Disable Guard ou Shield ou Résident...

Pour éviter leur réactivation après un redémarrage, décochez les dans les options de démarrage ->Msconfig

Si vous utilisez Spybot

Pour désactiver TeaTimer qui ne set à rien et peut faire échouer une désinfection:!

Afficher d'abord le Mode Avancé dans SpyBot

->Options Avancées :

- >menu Mode, Mode Avancé.

Une colonne de menus apparaît dans la partie gauche :

- >cliquer sur Outils,

- >cliquer sur Résident,

Dans Résident :

- >décocher Résident "TeaTimer" pour le désactiver.

Cela est absolument nécessaire au succès de la procédure.

Bien évidemment, vous les rétablirez ensuite.

Connecter tous les disques amovibles (disque dur externe, clé USB…).

*Double cliquer sur combofix.exe ou votrenom .exe pour le lancer.

Ne pas fermer la fenêtre qui vient de s'ouvrir , le bureau serait vide et cela pourrait entraîner un plantage du programme!

Pour lancer le scan

* Taper sur la touche 1 pour démarrer le scan.

Si pour une raison quelconque, Vista par exemple, combofix ne se lançait pas,

Démarrez en mode sans échec, choisissez le compte Administrateur, lancez Combofix

Lorsque ComboFix tourne, ne touchez plus du tout à votre ordinateur, vous risqueriez de planter le programme.

* Le scan pourrait prendre un certain temps:

Patientez au moins 30 minutes pendant l'analyse. Si le programme gèle (+ de 30 minutes), fermez le en cliquant le "X" au haut à droite de la fenêtre.

A la fin,,un rapport sera généré : postez en le contenu dans un prochain message.

* Si le rapport est trop long, postez le en deux fois.

Il se trouve à c:\combofix.txt

Duck Psycho Sexy · le 13 septembre 2009

Merci beaucoup Pear,

Voici le rapport :

ComboFix 09-09-12.A0 - Jean-Mouloud 13/09/2009 14:42.1.2 - NTFSx86

Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.1022.458 [GMT 2:00]

Lancé depuis: c:\documents and settings\Jean-Mouloud\Mes documents\Téléchargements\90231-CF.exe

AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\documents and settings\Jean-Mouloud\Application Data\wiaserva.log

c:\documents and settings\Jean-Mouloud\delself.bat

c:\documents and settings\Jean-Mouloud\oashdihasidhasuidhiasdhiashdiuasdhasd

c:\documents and settings\Jean-Mouloud\sys32_nov.exe

c:\windows\system32\braviax.exe

c:\windows\system32\ps2.bat

c:\windows\system32\wisdstr.exe

D:\Autorun.inf

.

((((((((((((((((((((((((((((( Fichiers créés du 2009-08-13 au 2009-09-13 ))))))))))))))))))))))))))))))))))))

.

2009-09-13 08:23 . 2009-09-13 08:23 -------- d-----w- c:\windows\LastGood

2009-09-13 07:45 . 2009-09-13 07:46 -------- dc-h--w- c:\windows\ie8

2009-09-08 22:39 . 2009-06-21 21:47 153088 ------w- c:\windows\system32\dllcache\triedit.dll

2009-09-08 22:33 . 2009-09-08 22:33 -------- d-----w- C:\My Music

2009-09-08 22:24 . 2009-09-08 22:24 -------- d-----w- c:\program files\Fichiers communs\xing shared

2009-09-06 15:49 . 2009-09-06 15:49 -------- d-----w- c:\program files\FileZilla FTP Client

2009-09-02 00:29 . 2009-09-02 00:29 40224 ---ha-w- c:\windows\system32\mlfcache.dat

2009-09-02 00:29 . 2009-09-02 00:29 -------- d-----w- c:\documents and settings\Jean-Mouloud\Application Data\Apple Computer

2009-09-02 00:29 . 2009-09-02 00:29 -------- d-----w- c:\documents and settings\Jean-Mouloud\Local Settings\Application Data\Apple Computer

2009-09-02 00:28 . 2009-09-02 00:29 -------- d-----w- c:\program files\Safari

2009-09-02 00:28 . 2009-09-02 00:28 -------- d-----w- c:\documents and settings\All Users\Application Data\Apple Computer

2009-09-02 00:28 . 2009-09-02 00:28 -------- d-----w- c:\documents and settings\Jean-Mouloud\Local Settings\Application Data\Apple

2009-09-02 00:28 . 2009-09-02 00:28 -------- d-----w- c:\program files\Apple Software Update

2009-09-02 00:28 . 2009-09-02 00:28 -------- d-----w- c:\documents and settings\All Users\Application Data\Apple

2009-08-27 18:52 . 2007-04-10 08:06 8192 ----a-w- c:\windows\system32\E_DCINST.DLL

2009-08-27 18:52 . 2007-12-07 09:08 86528 ----a-w- c:\windows\system32\E_FLBEDE.DLL

2009-08-27 18:52 . 2007-12-07 09:01 78848 ----a-w- c:\windows\system32\E_FD4BEDE.DLL

2009-08-27 18:52 . 2009-08-27 18:53 -------- d-----w- c:\documents and settings\All Users\Application Data\EPSON

2009-08-22 13:04 . 2009-08-22 13:04 -------- d--h--w- c:\windows\msdownld.tmp

2009-08-22 12:51 . 2009-08-22 12:51 -------- d-----w- c:\program files\MultipleIEs

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-09-13 08:23 . 2005-10-10 11:39 64484 ----a-w- c:\windows\system32\perfc00C.dat

2009-09-13 08:23 . 2005-10-10 11:39 446566 ----a-w- c:\windows\system32\perfh00C.dat

2009-09-13 08:05 . 2008-12-28 18:41 5181 ----a-w- c:\windows\bthservsdp.dat

2009-09-12 17:58 . 2008-10-18 19:32 -------- d-----w- c:\program files\Spybot - Search & Destroy

2009-09-11 08:06 . 2009-01-13 13:49 -------- d-----w- c:\documents and settings\Jean-Mouloud\Application Data\FileZilla

2009-09-10 11:31 . 2008-10-21 14:14 -------- d-----w- c:\documents and settings\Jean-Mouloud\Application Data\gtk-2.0

2009-09-10 10:06 . 2008-10-22 07:21 -------- d-----w- c:\program files\Mozilla Thunderbird

2009-09-08 22:38 . 2008-10-26 13:42 -------- d-----w- c:\documents and settings\Jean-Mouloud\Application Data\dvdcss

2009-09-08 22:24 . 2005-01-01 21:22 -------- d-----w- c:\program files\Fichiers communs\Real

2009-08-31 10:58 . 2009-06-27 19:50 -------- d-----w- c:\program files\FileZilla-3.2.5

2009-08-18 16:04 . 2008-10-18 20:21 60832 ----a-w- c:\documents and settings\Jean-Mouloud\Local Settings\Application Data\GDIPFONTCACHEV1.DAT

2009-08-18 16:03 . 2009-05-22 08:28 55656 ----a-w- c:\windows\system32\drivers\avgntflt.sys

2009-08-05 09:00 . 2004-08-10 11:00 205312 ----a-w- c:\windows\system32\mswebdvd.dll

2009-07-25 10:27 . 2009-07-25 10:27 -------- d-----w- c:\documents and settings\Jean-Mouloud\Application Data\DivX

2009-07-25 09:22 . 2009-07-25 09:22 -------- d-----w- c:\documents and settings\LocalService\Application Data\DivX

2009-07-23 17:39 . 2009-07-23 17:38 -------- d-----w- c:\program files\DivX

2009-07-23 17:38 . 2009-07-23 17:38 -------- d-----w- c:\program files\Fichiers communs\DivX Shared

2009-07-22 16:40 . 2009-07-22 16:40 -------- d-----w- c:\program files\7-Zip

2009-07-17 19:03 . 2004-08-10 11:00 58880 ----a-w- c:\windows\system32\atl.dll

2009-07-13 21:43 . 2004-08-10 11:00 286208 ----a-w- c:\windows\system32\wmpdxm.dll

2009-07-03 16:57 . 2004-08-10 11:00 915456 ----a-w- c:\windows\system32\wininet.dll

2009-06-25 08:26 . 2004-08-10 11:00 736768 ----a-w- c:\windows\system32\lsasrv.dll

2009-06-25 08:26 . 2004-08-10 11:00 56832 ----a-w- c:\windows\system32\secur32.dll

2009-06-25 08:26 . 2004-08-10 11:00 54272 ----a-w- c:\windows\system32\wdigest.dll

2009-06-25 08:26 . 2004-08-10 11:00 147456 ----a-w- c:\windows\system32\schannel.dll

2009-06-25 08:26 . 2004-08-10 11:00 136192 ----a-w- c:\windows\system32\msv1_0.dll

2009-06-25 08:26 . 2004-08-10 11:00 301568 ----a-w- c:\windows\system32\kerberos.dll

2009-06-24 11:18 . 2004-08-10 11:00 92928 ----a-w- c:\windows\system32\drivers\ksecdd.sys

2009-06-16 14:40 . 2004-08-10 11:00 119808 ----a-w- c:\windows\system32\t2embed.dll

2009-06-16 14:40 . 2004-08-10 04:00 81920 ----a-w- c:\windows\system32\fontsub.dll

2009-05-13 21:55 . 2009-05-13 21:55 1044480 ----a-w- c:\program files\mozilla firefox\plugins\libdivx.dll

2009-05-13 21:55 . 2009-05-13 21:55 200704 ----a-w- c:\program files\mozilla firefox\plugins\ssldivx.dll

2006-07-25 12:56 . 2008-10-16 18:00 32 --sha-w- c:\windows\SMINST\HPCD.SYS

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]

"Google Update"="c:\documents and settings\Jean-Mouloud\Local Settings\Application Data\Google\Update\GoogleUpdate.exe" [2009-06-30 133104]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ehTray"="c:\windows\ehome\ehtray.exe" [2005-08-05 64512]

"IAAnotif"="c:\program files\Intel\Intel Matrix Storage Manager\Iaanotif.exe" [2006-02-21 143360]

"HPHUPD08"="c:\program files\HP\Digital Imaging\{33D6CC28-9F75-4d1b-A11D-98895B3A3729}\hphupd08.exe" [2005-06-02 49152]

"Recguard"="c:\windows\SMINST\RECGUARD.EXE" [2005-07-22 237568]

"HPBootOp"="c:\program files\Hewlett-Packard\HP Boot Optimizer\HPBootOp.exe" [2005-11-10 249856]

"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]

"TkBellExe"="c:\program files\Fichiers communs\Real\Update_OB\realsched.exe" [2009-09-08 198160]

"ftutil2"="ftutil2.dll" - c:\windows\system32\ftutil2.dll [2004-06-07 106496]

"RTHDCPL"="RTHDCPL.EXE" - c:\windows\RTHDCPL.EXE [2006-01-12 15961088]

"BluetoothAuthenticationAgent"="bthprops.cpl" - c:\windows\system32\bthprops.cpl [2008-04-14 110592]

c:\documents and settings\Invit‚\Menu D‚marrer\Programmes\D‚marrage\

OpenOffice.org 3.0.lnk - c:\program files\OpenOffice.org 3\program\quickstart.exe [2008-9-12 384000]

Pin.lnk - c:\hp\bin\CLOAKER.EXE [2005-1-1 27136]

c:\documents and settings\Jean-Mouloud\Menu D‚marrer\Programmes\D‚marrage\

ikowin32.exe [2008-4-14 35328]

Pin.lnk - c:\hp\bin\CLOAKER.EXE [2005-1-1 27136]

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\

HP Digital Imaging Monitor.lnk - c:\program files\HP\Digital Imaging\bin\hpqtra08.exe [2005-5-12 282624]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]

@="Driver"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]

"TkBellExe"="c:\program files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"UpdatesDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqtra08.exe"=

"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqste08.exe"=

"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpofxm08.exe"=

"c:\\Program Files\\HP\\Digital Imaging\\bin\\hposfx08.exe"=

"c:\\Program Files\\HP\\Digital Imaging\\bin\\hposid01.exe"=

"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"=

"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"=

"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqCopy.exe"=

"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpfccopy.exe"=

"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpzwiz01.exe"=

"c:\\Program Files\\HP\\Digital Imaging\\Unload\\HpqPhUnl.exe"=

"c:\\Program Files\\HP\\Digital Imaging\\Unload\\HpqDIA.exe"=

"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpoews01.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\Program Files\\aMSN\\bin\\wish.exe"=

"c:\\Program Files\\VideoLAN\\VLC\\vlc.exe"=

"c:\program files\SFR\Media Center\httpd\httpd.exe"= c:\program files\SFR\Media Center\httpd\httpd.exe:172.16.255.0/255.255.255.0,192.168.1.0/255.255.255.0:Enabled:Serveur de partage Media Center (Player SFR)

"c:\\Program Files\\Goto software\\Sarbacane 3\\Sarbacane 3.exe"=

R2 AntiVirSchedulerService;Avira AntiVir Planificateur;c:\program files\Avira\AntiVir Desktop\sched.exe [22/05/2009 10:28 108289]

R3 3xHybrid;3xHybrid service;c:\windows\system32\drivers\3xHybrid.sys [01/01/2005 23:02 2815744]

R3 WN5301;LIteon Wireless PCI Network Adapter Service;c:\windows\system32\drivers\wn5301.sys [01/01/2005 23:02 468768]

S2 gupdate1c9d461dcf5c8c2;Google Update Service (gupdate1c9d461dcf5c8c2);c:\program files\Google\Update\GoogleUpdate.exe [14/05/2009 09:01 133104]

S3 CrystalSysInfo;CrystalSysInfo;c:\program files\MediaCoder Audio Edition\SysInfo.sys [25/09/2007 16:59 15152]

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{60B49E34-C7CC-11D0-8953-00A0C90347FF}]

"c:\windows\system32\rundll32.exe" "c:\windows\system32\iedkcs32.dll",BrandIEActiveSetup SIGNUP

.

Contenu du dossier 'Tâches planifiées'

2009-09-13 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job

- c:\program files\Google\Update\GoogleUpdate.exe [2009-05-14 07:01]

2009-09-13 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job

- c:\program files\Google\Update\GoogleUpdate.exe [2009-05-14 07:01]

2009-09-10 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-31513636-1290811894-3539807652-1009Core.job

- c:\documents and settings\Jean-Mouloud\Local Settings\Application Data\Google\Update\GoogleUpdate.exe [2009-07-28 11:43]

2009-09-13 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-31513636-1290811894-3539807652-1009UA.job

- c:\documents and settings\Jean-Mouloud\Local Settings\Application Data\Google\Update\GoogleUpdate.exe [2009-07-28 11:43]

.

------- Examen supplémentaire -------

.

uStart Page = hxxp://www.google.com

uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8

mStart Page = hxxp://www.google.com

mWindow Title =

uSearchURL,(Default) = hxxp://www.google.com/search?q=%s

FF - ProfilePath - c:\documents and settings\Jean-Mouloud\Application Data\Mozilla\Firefox\Profiles\gj6txj2h.default\

FF - prefs.js: browser.search.selectedEngine - WikipÃ©dia (fr)

FF - component: c:\program files\Real\RealPlayer\browserrecord\firefox\ext\components\nprpffbrowserrecordext.dll

FF - plugin: c:\documents and settings\Jean-Mouloud\Local Settings\Application Data\Google\Update\1.2.183.7\npGoogleOneClick8.dll

FF - plugin: c:\program files\Google\Update\1.2.183.7\npGoogleOneClick8.dll

FF - plugin: c:\program files\Mozilla Firefox\plugins\np-mswmp.dll

.

- - - - ORPHELINS SUPPRIMES - - - -

HKLM-Run-PCDrProfiler - (no file)

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-09-13 14:52

Windows 5.1.2600 Service Pack 3 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès

Fichiers cachés: 0

**************************************************************************

.

--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'winlogon.exe'(856)

c:\windows\system32\Ati2evxx.dll

.

Heure de fin: 2009-09-13 14:54

ComboFix-quarantined-files.txt 2009-09-13 12:54

Avant-CF: 7 485 394 944 octets libres

Après-CF: 7 461 269 504 octets libres

185 --- E O F --- 2009-09-13 07:48

pear · le 13 septembre 2009

Bonjour,

Combo, Nettoyage

Déconnectez-vous du net et désactivez l'antivirus (juste le temps de la procédure !)

Connecter tous les disques amovibles (disque dur externe, clé USB…).

Dans certaines circonstances , le Mode sans échec peut être nécessaire

Ouvrez Combofix

# Dans le bloc-note ,copiez-collez ces lignes :

KillAll::

File::

c:\documents and settings\Jean-Mouloud\Menu D‚marrer\Programmes\D‚marrage\ikowin32.exe

C:\WINDOWS\system32\dllcache\figaro.sys

* Attention, ce code a été rédigé spécialement pour cet utilisateur, il serait dangereux de le réutiliser dans d'autres cas !

Enregistrez-le en lui donnant le nom CFScript.txt

* Faire un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe

* Au message qui apparait dans une fenêtre bleue ( Type 1 to continue, or 2 to abort) , taper 1 puis valider.

* Patienter le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!

Ne toucher à rien tant que le scan n'est pas terminé.

* Une fois le scan achevé, un rapport va s'afficher: poster son contenu.

* Si le fichier n'apparait pas, il se trouve ici > C:\ComboFix.txt

Rendez vous à cette addresse:

Cliquez sur parcourir pour trouver ces fichiers en gras:

C:\windows\system32\E_DCINST.DLL

c:\windows\system32\E_FLBEDE.DLL

c:\windows\system32\E_FD4BEDE.DLL

c:\windows\system32\mlfcache.dat

et cliquez sur "envoyer le fichier"

Copiez /collez la réponse dans votre prochain message.

Note: il peut arriver que le fichier ait déjà été analysé. Si c'est le cas, cliquez sur le bouton Reanalyse file now

Modifié le 13 septembre 2009 par pear

Duck Psycho Sexy · le 13 septembre 2009

Re,

Pour info (je ne sais pas si c'est normal ou pas), lors de la procédure, je n'ai pas eu le message " ( Type 1 to continue, or 2 to abort)"...

Voici le rapport de combofix :

ComboFix 09-09-12.A0 - Jean-Mouloud 13/09/2009 17:25.4.2 - NTFSx86 MINIMAL

Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.1022.800 [GMT 2:00]

Lancé depuis: c:\documents and settings\Jean-Mouloud\Bureau\90231-CF.exe

Commutateurs utilisés :: c:\documents and settings\Jean-Mouloud\Bureau\CFScript.txt

AV: AntiVir Desktop *On-access scanning enabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}

FILE ::

"c:\documents and settings\Jean-Mouloud\Menu D‚marrer\Programmes\D‚marrage\ikowin32.exe"

"c:\windows\system32\dllcache\figaro.sys"

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\documents and settings\Jean-Mouloud\Application Data\wiaserva.log

c:\documents and settings\Jean-Mouloud\oashdihasidhasuidhiasdhiashdiuasdhasd

c:\documents and settings\Jean-Mouloud\sys32_nov.exe

c:\program files\WinPCap

c:\program files\WinPCap\rpcapd.exe

c:\windows\system32\braviax.exe

c:\windows\system32\drivers\npf.sys

c:\windows\system32\Packet.dll

c:\windows\system32\pthreadVC.dll

c:\windows\system32\sys32_nov.exe

c:\windows\system32\WanPacket.dll

c:\windows\system32\wisdstr.exe

c:\windows\system32\wpcap.dll

.

((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.

-------\Legacy_NPF

-------\Service_npf

((((((((((((((((((((((((((((( Fichiers créés du 2009-08-13 au 2009-09-13 ))))))))))))))))))))))))))))))))))))

.

2009-09-13 14:09 . 2009-09-13 14:21 -------- d-----w- C:\90231-CF106629

2009-09-13 12:41 . 2009-09-13 12:54 -------- d-----w- C:\90231-CF